JP2021500816A - Vehicle-mounted equipment upgrade method and related equipment - Google Patents
Vehicle-mounted equipment upgrade method and related equipment Download PDFInfo
- Publication number
- JP2021500816A JP2021500816A JP2020523294A JP2020523294A JP2021500816A JP 2021500816 A JP2021500816 A JP 2021500816A JP 2020523294 A JP2020523294 A JP 2020523294A JP 2020523294 A JP2020523294 A JP 2020523294A JP 2021500816 A JP2021500816 A JP 2021500816A
- Authority
- JP
- Japan
- Prior art keywords
- upgrade
- vehicle
- key
- target
- data blocks
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 148
- 238000012795 verification Methods 0.000 claims abstract description 89
- 238000004422 calculation algorithm Methods 0.000 claims description 124
- 230000005540 biological transmission Effects 0.000 claims description 48
- 230000006870 function Effects 0.000 description 46
- 230000008569 process Effects 0.000 description 38
- 238000004891 communication Methods 0.000 description 34
- 238000012545 processing Methods 0.000 description 28
- 238000006243 chemical reaction Methods 0.000 description 20
- 238000010586 diagram Methods 0.000 description 13
- 238000012546 transfer Methods 0.000 description 12
- 238000010200 validation analysis Methods 0.000 description 11
- 238000009795 derivation Methods 0.000 description 10
- 238000005516 engineering process Methods 0.000 description 10
- 238000004590 computer program Methods 0.000 description 9
- 238000007689 inspection Methods 0.000 description 7
- 230000008901 benefit Effects 0.000 description 6
- 238000004364 calculation method Methods 0.000 description 6
- 230000003068 static effect Effects 0.000 description 5
- 238000012360 testing method Methods 0.000 description 5
- 230000032258 transport Effects 0.000 description 5
- 230000009471 action Effects 0.000 description 4
- 230000003287 optical effect Effects 0.000 description 4
- 238000000638 solvent extraction Methods 0.000 description 4
- 238000013461 design Methods 0.000 description 3
- 238000011161 development Methods 0.000 description 3
- 230000018109 developmental process Effects 0.000 description 3
- 238000010276 construction Methods 0.000 description 2
- 238000001514 detection method Methods 0.000 description 2
- 230000005670 electromagnetic radiation Effects 0.000 description 2
- 238000005259 measurement Methods 0.000 description 2
- 230000005477 standard model Effects 0.000 description 2
- 238000006467 substitution reaction Methods 0.000 description 2
- 238000004458 analytical method Methods 0.000 description 1
- 238000013473 artificial intelligence Methods 0.000 description 1
- 150000001875 compounds Chemical class 0.000 description 1
- 230000008878 coupling Effects 0.000 description 1
- 238000010168 coupling process Methods 0.000 description 1
- 238000005859 coupling reaction Methods 0.000 description 1
- 238000003745 diagnosis Methods 0.000 description 1
- 230000003993 interaction Effects 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 238000010295 mobile communication Methods 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000012544 monitoring process Methods 0.000 description 1
- 238000003672 processing method Methods 0.000 description 1
- 230000008929 regeneration Effects 0.000 description 1
- 238000011069 regeneration method Methods 0.000 description 1
- 230000008439 repair process Effects 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F8/00—Arrangements for software engineering
- G06F8/60—Software deployment
- G06F8/65—Updates
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
- G06F21/575—Secure boot
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
- H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
- H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
- H04W4/30—Services specially adapted for particular environments, situations or purposes
- H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
- H04W4/50—Service provisioning or reconfiguring
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W76/00—Connection management
- H04W76/10—Connection setup
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F8/00—Arrangements for software engineering
- G06F8/60—Software deployment
- G06F8/65—Updates
- G06F8/654—Updates using techniques specially adapted for alterable solid state memories, e.g. for EEPROM or flash memories
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/80—Wireless
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/84—Vehicles
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- General Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Software Systems (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Power Engineering (AREA)
- Stored Programmes (AREA)
- Information Transfer Between Computers (AREA)
Abstract
本発明の実施形態は、車両搭載機器アップグレード方法および関連機器を開示する。本方法は車両搭載システムに適用されてもよく、車両搭載システムは車両搭載制御装置と1つまたは複数のアップグレード対象車両搭載機器とを含み、本方法は、車両搭載制御装置が、車両搭載アップグレードパッケージを取得するステップであって、車両搭載アップグレードパッケージが複数のアップグレードファイルを含み、各アップグレードファイルが少なくとも1つのアップグレード対象車両搭載機器をアップグレードするために使用される、ステップと、車両搭載制御装置が、複数のアップグレードファイルに対してセキュリティ検証を行うステップと、車両搭載制御装置が、ターゲットアップグレードファイルを使用してアップグレードされるべきターゲットアップグレード対象車両搭載機器にターゲットアップグレードファイルを送信するステップであって、ターゲットアップグレードファイルが、複数のアップグレードファイル内のそのセキュリティ検証が成功したアップグレードファイルである、ステップと、を含む。本出願によれば、車両搭載機器をセキュアかつ効率的にアップグレードすることができる。Embodiments of the present invention disclose vehicle-mounted device upgrade methods and related devices. The method may be applied to a vehicle-mounted system, which includes a vehicle-mounted controller and one or more vehicle-mounted devices to be upgraded, in which the vehicle-mounted controller includes a vehicle-mounted upgrade package. The step and the vehicle-mounted controller are the steps in which the vehicle-mounted upgrade package contains multiple upgrade files, and each upgrade file is used to upgrade at least one vehicle-mounted equipment to be upgraded. The step of performing security verification on multiple upgrade files and the step of sending the target upgrade file to the target vehicle-mounted equipment to be upgraded by the vehicle-mounted controller using the target upgrade file. The upgrade file contains steps, which are the upgrade files whose security verification was successful in multiple upgrade files. According to this application, vehicle-mounted equipment can be upgraded securely and efficiently.
Description
本出願は、車両搭載技術の分野に関し、特に、車両搭載機器アップグレード方法および関連機器に関する。 The application relates to the field of vehicle-mounted technology, in particular to vehicle-mounted equipment upgrade methods and related equipment.
将来は、各車両が車両のインターネット上のネットワークになり、コンピュータや携帯電話などのウェブ接続された機器と実質的に同じになる。北米の車両リコールの60％から70％がファームウェア／ソフトウェア問題によって引き起こされていると推定される。したがって、車両搭載機器のファームウェア／ソフトウェアのアップグレードは不可欠な措置である。従来のアップグレード対象車両搭載機器車両は、ファームウェア／ソフトウェアアップグレードのために回収される。そのような方法にはコストが高くサイクルが長いという短所がある。 In the future, each vehicle will become a network of vehicles on the Internet, virtually the same as web-connected devices such as computers and mobile phones. It is estimated that 60% to 70% of North American vehicle recalls are caused by firmware / software issues. Therefore, upgrading the firmware / software of vehicle-mounted equipment is an indispensable measure. Conventional upgrade target vehicle on-board equipment Vehicles are reclaimed for firmware / software upgrades. Such methods have the disadvantages of high cost and long cycles.
したがって、将来の車両搭載機器では、今日コンピュータや携帯電話に対して行われるリモートアップグレードと全く同様に、無線（Over−The−Air、OTA）技術を使用してより柔軟なリモートアップグレードが実施される必要がある。車両搭載機器のリモートファームウェア／ソフトウェアアップグレードは多くの利益をもたらし得る。例えば、これは、重要なファームウェア／ソフトウェアのbugsを迅速に修正するのに役立ち、車両安全性を改善し、全耐用期間にわたって車両に適時に新しい機能や機構を付加する。したがって、このOTA方式では、車両を回収せずにファームウェア／ソフトウェアアップグレードを実施することができる。これにより、車両の製造者または販売者の多くのコストを削減するとともに、車両所有者に利便性をもたらすことができる。 Therefore, future vehicle-mounted equipment will use wireless (Over-The-Air, OTA) technology to perform more flexible remote upgrades, much like remote upgrades for computers and mobile phones today. There is a need. Remote firmware / software upgrades for vehicle-mounted equipment can bring many benefits. For example, this helps to quickly fix important firmware / software bugs, improves vehicle safety, and adds new features and mechanisms to the vehicle in a timely manner over its full useful life. Therefore, in this OTA method, the firmware / software upgrade can be performed without collecting the vehicle. This can reduce many costs for the manufacturer or seller of the vehicle and provide convenience to the vehicle owner.
しかしながら、アップグレード対象車両搭載機器のリモートアップグレード中には、一部のアップグレード対象車両搭載機器に計算能力の限界や記憶空間の限界などの問題があるので、アップグレード対象車両搭載機器のアップグレードの効率が比較的低く、車両搭載システム全体のアップグレードに影響を及ぼすことさえある。したがって、どのようにして車両搭載機器のセキュアで効率的なファームウェア／ソフトウェアアップグレードを保証するかが喫緊の解決を要する問題である。 However, during the remote upgrade of the equipment installed in the vehicle to be upgraded, some of the equipment installed in the vehicle to be upgraded have problems such as the limitation of computing power and the limit of storage space. It is low-key and can even affect the upgrade of the entire vehicle-mounted system. Therefore, how to ensure a secure and efficient firmware / software upgrade for vehicle-mounted equipment is an urgent issue to be resolved.
本発明の実施形態は、車両搭載機器のセキュアで効率的なファームウェア／ソフトウェアアップグレードを実施できないという問題を解決する、車両搭載機器アップグレード方法および関連機器を提供する。 An embodiment of the present invention provides a vehicle-mounted device upgrade method and related devices that solve the problem of not being able to perform secure and efficient firmware / software upgrade of a vehicle-mounted device.
第1の態様によれば、本発明の一実施形態は車両搭載機器アップグレード方法を提供し、本車両搭載機器アップグレード方法は、
車両搭載制御装置が、車両搭載アップグレードパッケージを取得するステップであって、車両搭載アップグレードパッケージが複数のアップグレードファイルを含み、各アップグレードファイルが少なくとも1つのアップグレード対象車両搭載機器をアップグレードするために使用される、ステップと、車両搭載制御装置が、複数のアップグレードファイルに対してセキュリティ検証を行うステップと、車両搭載制御装置が、ターゲットアップグレードファイルを使用してアップグレードされるべきターゲットアップグレード対象車両搭載機器にターゲットアップグレードファイルを送信するステップであって、ターゲットアップグレードファイルが、複数のアップグレードファイル内のそのセキュリティ検証が成功したアップグレードファイルである、ステップと
を含む。本発明の本実施形態によれば、車両搭載制御装置側で、車両搭載機器をアップグレードするために必要な車両搭載アップグレードパッケージに対してセキュリティ検証処理が行われて、異なるアップグレード能力を有するアップグレード対象車両搭載機器がセキュリティ検証プロセスに関与するのを防止し、それによって、車両搭載機器が車両搭載アップグレードパッケージを使用してセキュアかつ効率的にアップグレードされることが保証される。
According to the first aspect, one embodiment of the present invention provides a vehicle-mounted device upgrade method, the vehicle-mounted device upgrade method.
The vehicle-mounted controller is the step to obtain the vehicle-mounted upgrade package, where the vehicle-mounted upgrade package contains multiple upgrade files, and each upgrade file is used to upgrade at least one vehicle-mounted equipment to be upgraded. , Steps, and the step that the vehicle-mounted controller performs security verification for multiple upgrade files, and the target upgrade of the vehicle-mounted controller to the target vehicle-mounted equipment that should be upgraded using the target upgrade file. Includes a step of submitting a file, where the target upgrade file is an upgrade file that has been successfully validated for security within multiple upgrade files. According to the present embodiment of the present invention, the vehicle-mounted control device side performs security verification processing on the vehicle-mounted upgrade package required for upgrading the vehicle-mounted equipment, and the vehicle to be upgraded has different upgrade capabilities. It prevents on-board equipment from being involved in the security verification process, thereby ensuring that vehicle-mounted equipment is securely and efficiently upgraded using the vehicle-mounted upgrade package.
1つの可能な実施態様では、車両搭載アップグレードパッケージは第1のデジタル署名を含み、車両搭載制御装置が、複数のアップグレードファイルに対してセキュリティ検証を行うステップは、車両搭載制御装置が、第1のデジタル署名を使用して複数のアップグレードファイルに対してデジタル署名検証を行うステップ、を含む。言い換えると、車両搭載アップグレードパッケージはデジタル署名を使用して検証され、それによって、車両搭載制御装置によって車両搭載機器の外部から取得された車両搭載アップグレードパッケージの妥当性が保証される。 In one possible embodiment, the vehicle-mounted upgrade package contains a first digital signature, and the vehicle-mounted controller performs security verification on multiple upgrade files with the vehicle-mounted controller first. Includes steps to perform digital signature verification on multiple upgrade files using digital signatures. In other words, the vehicle-mounted upgrade package is verified using a digital signature, which guarantees the validity of the vehicle-mounted upgrade package obtained from outside the vehicle-mounted equipment by the vehicle-mounted controller.
1つの可能な実施態様では、本方法は、車両搭載制御装置が、アップグレードサーバに識別認証情報を送信するステップと、識別認証情報がアップグレードサーバによって認証された場合、車両搭載制御装置とアップグレードサーバとの間にセキュアなチャネルを確立するステップと、をさらに含み、車両搭載制御装置が、アップグレードサーバから車両搭載アップグレードパッケージを取得するステップは、車両搭載制御装置が、セキュアなチャネルを介してアップグレードサーバから車両搭載アップグレードパッケージを取得するステップ、を含む。言い換えると、伝送プロセスでの車両搭載アップグレードパッケージの機密性を保証するために、車両搭載制御装置とアップグレードサーバとの間にセキュアなチャネルが確立される。この場合、車両搭載アップグレードパッケージはさらに暗号化されなくてもよい。 In one possible embodiment, the method comprises a step in which the vehicle-mounted controller sends identification credentials to the upgrade server and, if the identification credentials are authenticated by the upgrade server, the vehicle-mounted controller and the upgrade server. Including the step of establishing a secure channel between, and the step of the vehicle-mounted controller acquiring the vehicle-mounted upgrade package from the upgrade server, the vehicle-mounted controller takes the step of acquiring the vehicle-mounted upgrade package from the upgrade server via the secure channel. Includes steps to get a vehicle-mounted upgrade package. In other words, a secure channel is established between the vehicle-mounted controller and the upgrade server to ensure the confidentiality of the vehicle-mounted upgrade package in the transmission process. In this case, the vehicle-mounted upgrade package does not have to be further encrypted.
1つの可能な実施態様では、車両搭載アップグレードパッケージは第1の鍵を使用して暗号化され、第1の鍵は対称鍵であり、本方法は、車両搭載制御装置が、鍵サーバから第1の鍵を取得するステップ、をさらに含み、車両搭載制御装置が、第1のデジタル署名を使用して複数のアップグレードファイルに対してデジタル署名検証を行うステップの後に、本方法は、車両搭載制御装置が、デジタル署名検証が成功した場合、第1の鍵を使用して複数のアップグレードファイルを解読するステップ、を含む。言い換えると、車両搭載アップグレードパッケージは暗号化され、暗号鍵が専用鍵サーバに格納され、それによって、伝送プロセスでの車両搭載アップグレードパッケージの機密性が効果的に保証される。 In one possible embodiment, the vehicle-mounted upgrade package is encrypted using a first key, the first key is a symmetric key, and this method allows the vehicle-mounted controller to first from the key server. After a step in which the vehicle-mounted controller performs digital signature verification on multiple upgrade files using a first digital signature, further including the step of obtaining the key of the vehicle-mounted controller However, if the digital signature verification is successful, it includes the step of decrypting multiple upgrade files using the first key. In other words, the vehicle-mounted upgrade package is encrypted and the encryption key is stored on a dedicated key server, which effectively guarantees the confidentiality of the vehicle-mounted upgrade package in the transmission process.
1つの可能な実施態様では、車両搭載制御装置が、ターゲットアップグレードファイルを使用してアップグレードされるべきであるターゲットアップグレード対象車両搭載機器にターゲットアップグレードファイルを送信するステップは、車両搭載制御装置が、ターゲットアップグレードファイルを複数のアップグレードサブファイルに分割するステップと、車両搭載制御装置が、事前設定アルゴリズムを使用して複数のアップグレードサブファイルから複数の相互関連データブロックを生成し、第2の鍵を使用して複数のデータブロックの第1のメッセージ認証コードMACを生成するステップであって、第2の鍵が対称アルゴリズム鍵である、ステップと、車両搭載制御装置がターゲットアップグレード対象車両搭載機器に、第1のMACを搬送する複数のデータブロックを順次に送信するステップと、を含む。言い換えると、車両搭載機器間での車両搭載アップグレードパッケージの伝送中に、事前設定アルゴリズムを使用してアップグレードファイルが複数の関連データブロックに分割され、それらの関連データブロックに対してMAC処理が行われるので、車両搭載制御装置は完全なアップグレードファイルを、別々に伝送することができ、それに対する妥当性検証を別々に行うことができる複数のデータブロックに分割する。加えて、複数のデータブロックが関連付けられているので、セキュリティ問題のあるデータブロックを、関連したアルゴリズムを使用して迅速に特定することもできる。したがって、能力が比較的弱いアップグレード対象車両搭載機器の単位時間あたりの計算作業負荷および計算の複雑さが減少する。アップグレードファイル伝送誤りが発生した後、誤り部分を可能な限り迅速に見つけることができるので、アップグレードファイル全体ではなく誤り部分のみが再送を要求される。このようにして、車両搭載機器のセキュアで効率的なアップグレードがさらに保証される。 In one possible embodiment, the vehicle-mounted controller should be upgraded using the target upgrade file. The step of sending the target upgrade file to the targeted vehicle-mounted equipment is targeted by the vehicle-mounted controller. With the step of splitting the upgrade file into multiple upgrade subfiles, the vehicle-mounted controller uses a preconfigured algorithm to generate multiple interrelated data blocks from multiple upgrade subfiles and uses a second key. In the step of generating the first message authentication code MAC of multiple data blocks, the second key is the symmetric algorithm key, the step and the vehicle-mounted controller are the target vehicle-mounted equipment to be upgraded. Includes a step of sequentially transmitting a plurality of data blocks carrying the MAC of. In other words, during the transmission of the vehicle-mounted upgrade package between vehicle-mounted equipment, the upgrade file is split into multiple related data blocks using a preset algorithm and MAC processing is performed on those related data blocks. As such, the vehicle-mounted controller divides the complete upgrade file into multiple data blocks that can be transmitted separately and validated against them separately. In addition, since multiple data blocks are associated, a data block with a security problem can be quickly identified using a related algorithm. Therefore, the computational workload and computational complexity per unit time of the upgraded vehicle-mounted equipment with relatively weak capacity is reduced. After an upgrade file transmission error occurs, the error can be found as quickly as possible, so only the error is required to be resent, not the entire upgrade file. In this way, secure and efficient upgrades of vehicle-mounted equipment are further guaranteed.
1つの可能な実施態様では、本方法は、車両搭載制御装置が、第3の鍵を使用して複数のアップグレードサブファイルの各々を暗号化するステップ、をさらに含み、車両搭載制御装置が、事前設定アルゴリズムを使用して複数のアップグレードサブファイルから複数の相互関連データブロックを生成するステップは、車両搭載制御装置が事前設定アルゴリズムを使用して、第3の鍵を使用して暗号化された複数のアップグレードサブファイルから複数の相互関連データブロックを生成するステップ、を含む。車両搭載アップグレードパッケージの妥当性が保証されると同時に車両搭載アップグレードパッケージの機密性がさらに保証され、それによって、車両搭載アップグレードパッケージが権限のない者によって取得されることが防止される。 In one possible embodiment, the method further comprises a step in which the vehicle-mounted controller encrypts each of the plurality of upgrade subfiles using a third key, the vehicle-mounted controller pre-installs. The step of generating multiple interrelated data blocks from multiple upgrade subfiles using a configuration algorithm is multiple encrypted by the vehicle-mounted controller using a preset algorithm using a third key. Includes steps to generate multiple interrelated data blocks from the upgrade subfile of. The validity of the vehicle-mounted upgrade package is guaranteed, while the confidentiality of the vehicle-mounted upgrade package is further guaranteed, thereby preventing the vehicle-mounted upgrade package from being obtained by an unauthorized person.
1つの可能な実施態様では、ターゲットアップグレードファイルが複数のアップグレードサブファイルを含み、複数の相互関連データブロックが事前設定アルゴリズムを使用して複数のアップグレードサブファイルから生成され、複数のアップグレードサブファイルは、第4の鍵を使用して生成された複数のデータブロックの第2のデジタル署名を搬送し、第4の鍵は非対称鍵であり、車両搭載制御装置が、複数のアップグレードファイルに対してセキュリティ検証を行うステップは、車両搭載制御装置が、複数のデータブロックの第2のデジタル署名を検査するステップ、を含み、車両搭載制御装置が、ターゲットアップグレードファイルを使用してアップグレードされるべきであるターゲットアップグレード対象車両搭載機器にターゲットアップグレードファイルを送信するステップは、車両搭載制御装置が、第5の鍵を使用して複数のデータブロックの第2のMACを生成するステップであって、第5の鍵が対称アルゴリズム鍵である、ステップと、車両搭載制御装置がターゲットアップグレード対象車両搭載機器に、第2のMACを搬送する複数のデータブロックを順次に送信するステップと、を含む。言い換えると、車両搭載アップグレードパッケージのブロック伝送および署名がアップグレード開発者側で実施され得る。すなわち、車両搭載制御装置によって取得される前に、事前設定アルゴリズムを使用した分割によってデータブロックが取得され、署名される。この場合、車両搭載機器は、データブロックの妥当性をまず検査する必要があり、次いで妥当と検査されたデータブロックに対してMAC処理を行う。このようにして、車両内伝送プロセスでの車両搭載アップグレードファイルの妥当性が保証されると同時に、アップグレード対象車両搭載機器の計算作業負荷および計算の複雑さが減少する。したがって、車両搭載機器はセキュアかつ効率的にアップグレードされる。 In one possible embodiment, the target upgrade file contains multiple upgrade subfiles, multiple interrelated data blocks are generated from multiple upgrade subfiles using a preset algorithm, and the multiple upgrade subfiles Carrying a second digital signature of multiple data blocks generated using the fourth key, the fourth key is an asymmetric key, and the vehicle-mounted controller validates security against multiple upgrade files. The steps to do include a step in which the vehicle-mounted controller inspects the second digital signature of multiple data blocks, and the vehicle-mounted controller should be upgraded using the target upgrade file. The step of sending the target upgrade file to the target vehicle-mounted device is the step in which the vehicle-mounted controller uses the fifth key to generate a second MAC for multiple data blocks, where the fifth key is. It includes a step, which is a symmetric algorithm key, and a step in which the vehicle-mounted controller sequentially transmits a plurality of data blocks carrying a second MAC to the target-upgraded vehicle-mounted device. In other words, block transmission and signing of vehicle-mounted upgrade packages can be performed by the upgrade developer. That is, the data block is acquired and signed by partitioning using a preset algorithm before it is acquired by the vehicle-mounted controller. In this case, the vehicle-mounted device must first check the validity of the data block, and then perform MAC processing on the checked data block. In this way, the validity of the vehicle-mounted upgrade file in the in-vehicle transmission process is guaranteed, while the computational workload and computational complexity of the vehicle-mounted equipment to be upgraded is reduced. Therefore, vehicle-mounted equipment is upgraded securely and efficiently.
1つの可能な実施態様では、事前設定アルゴリズムは、Hash Chainアルゴリズム、Hash Treeアルゴリズム、および Bloom Filterアルゴリズムのいずれか1つを含む。事前設定アルゴリズムは、前述のアルゴリズムのハッシュ関数を使用して、ターゲットアップグレードファイルを複数の相互関連データブロックに分割する。このようにして、MAC処理中に、MAC処理は複数のデータブロックのうちの1つに対してのみ行われ、他の関連データブロックはハッシュ値を使用して相互関連性を検査され得る。 In one possible embodiment, the preset algorithm includes any one of the Hash Chain algorithm, the Hash Tree algorithm, and the Bloom Filter algorithm. The preset algorithm uses the hash function of the algorithm described above to divide the target upgrade file into multiple interrelated data blocks. In this way, during MAC processing, MAC processing can be performed on only one of a plurality of data blocks, and the other related data blocks can be checked for interrelationship using hash values.
1つの可能な実施態様では、本方法は、車両搭載制御装置が、ターゲットアップグレード対象車両搭載機器にターゲットデータブロックを再送するステップであって、ターゲットデータブロックが、複数のデータブロック内のターゲットアップグレード対象車両搭載機器でその検証が失敗したデータブロックである、ステップ、をさらに含む。関連ブロックの伝送に基づき、その検証が失敗したデータブロックを迅速に特定することができ、そのような伝送誤りが発生した場合、アップグレードファイル全体ではなく対応するデータブロックのみが再度要求されさえすればよく、それによって、オーバーヘッドが削減され、アップグレード効率が改善され、アップグレードセキュリティが保証される。 In one possible embodiment, the method is a step in which the vehicle-mounted controller retransmits the target data block to the target-upgraded vehicle-mounted device, wherein the target data block is the target upgrade target within the plurality of data blocks. It also includes steps, which are data blocks whose verification has failed in vehicle-mounted equipment. Based on the transmission of the relevant block, the data block whose verification failed can be quickly identified, and in the event of such a transmission error, only the corresponding data block, not the entire upgrade file, needs to be reclaimed. Well, it reduces overhead, improves upgrade efficiency, and guarantees upgrade security.
第2の態様によれば、本発明の一実施形態は、車両搭載制御装置と少なくとも1つのアップグレード対象車両搭載機器とを含み得る、インテリジェント車両であって、
車両搭載機器が、車両搭載アップグレードパッケージを取得し、車両搭載アップグレードパッケージ内の複数のアップグレードファイルに対してセキュリティ検証を行い、ターゲットアップグレードファイルを使用してアップグレードされるべきであるターゲットアップグレード対象車両搭載機器にターゲットアップグレードファイルを送信し、各アップグレードファイルが少なくとも1つのアップグレード対象車両搭載機器をアップグレードするために使用され、ターゲットアップグレードファイルが、複数のアップグレードファイル内のその検証が成功したアップグレードファイルである、ように構成され、
アップグレード対象車両搭載機器が、車両搭載制御装置によって送信されたターゲットアップグレードファイルを受信し、ターゲットアップグレードファイルを使用してセキュアなアップグレードを行い、アップグレード対象車両搭載機器がターゲットアップグレード対象車両搭載機器である、ように構成される、
インテリジェント車両を提供する。
According to a second aspect, one embodiment of the present invention is an intelligent vehicle that may include a vehicle-mounted control device and at least one upgradeable vehicle-mounted device.
Vehicle-mounted equipment should obtain a vehicle-mounted upgrade package, perform security validation on multiple upgrade files in the vehicle-mounted upgrade package, and upgrade using the targeted upgrade file. Assuming that the target upgrade file is sent to, each upgrade file is used to upgrade at least one vehicle-mounted equipment to be upgraded, and the target upgrade file is the upgrade file whose validation was successful in multiple upgrade files. Consists of
The target vehicle-mounted device receives the target upgrade file sent by the vehicle-mounted controller, performs a secure upgrade using the target upgrade file, and the upgraded target vehicle-mounted device is the target upgrade target vehicle-mounted device. Is configured as
Providing intelligent vehicles.
1つの可能な実施態様では、車両搭載制御装置は、第1のデジタル署名を使用して複数のアップグレードファイルに対してデジタル署名検証を行うように特に構成される。言い換えると、本発明の本実施形態のインテリジェント車両の車両搭載制御装置は、車両の外部から取得される車両搭載アップグレードパッケージ内の複数のアップグレードファイルの妥当性を検査する必要がある。 In one possible embodiment, the vehicle-mounted controller is specifically configured to perform digital signature verification on multiple upgrade files using a first digital signature. In other words, the vehicle-mounted controller of the intelligent vehicle of the present embodiment of the present invention needs to check the validity of a plurality of upgrade files in the vehicle-mounted upgrade package obtained from the outside of the vehicle.
1つの可能な実施態様では、車両搭載制御装置は、
アップグレードサーバに識別認証情報を送信し、識別認証情報がアップグレードサーバによって認証された場合、車両搭載制御装置とアップグレードサーバとの間にセキュアなチャネルを確立し、セキュアなチャネルを介してアップグレードサーバから車両搭載アップグレードパッケージを取得する、ように特に構成されるか、または車両搭載アップグレードパッケージは第1の鍵を使用して暗号化され、第1の鍵は対称鍵であり、車両搭載制御装置は、第1の鍵を鍵サーバから取得し、第1のデジタル署名を使用して複数のアップグレードファイルに対して行われたデジタル署名検証が成功した後、第1の鍵を使用して複数のアップグレードファイルを解読する、ように特に構成される。言い換えると、本発明の本実施形態のインテリジェント車両の車両搭載制御装置は、車両搭載アップグレードパッケージを取得するプロセスのセキュリティを保証するために、サーバ端へのセキュアなチャネルを確立し得る。
In one possible embodiment, the vehicle-mounted controller
If the identification credentials are sent to the upgrade server and the identification credentials are authenticated by the upgrade server, a secure channel is established between the vehicle-mounted controller and the upgrade server, and the upgrade server sends the vehicle through the secure channel. The on-board upgrade package is specifically configured to obtain an on-board upgrade package, or the vehicle-mounted upgrade package is encrypted using a first key, the first key is a symmetric key, and the vehicle-mounted controller is the first. After obtaining one key from the key server and successfully digitally signing verification performed on multiple upgrade files using the first digital signature, multiple upgrade files using the first key Specially configured to decipher. In other words, the vehicle-mounted controller of the intelligent vehicle of the present embodiment of the present invention may establish a secure channel to the server edge to ensure the security of the process of obtaining the vehicle-mounted upgrade package.
1つの可能な実施態様では、車両搭載制御装置は、ターゲットアップグレードファイルを複数のアップグレードサブファイルに分割し、事前設定アルゴリズムを使用して複数の相互関連データブロックを生成し、第2の鍵を使用して複数のデータブロックの第1のメッセージ認証コードMACを生成し、ターゲットアップグレード対象車両搭載機器に、第1のMACを搬送する複数のデータブロックを順次に送信し、第2の鍵が対称アルゴリズム鍵である、ように特に構成され、
アップグレード対象車両搭載機器は、第1のMACを搬送する、車両搭載制御装置によって送信された複数のデータブロックを順次に受信し、第2の鍵を使用して事前設定アルゴリズムに基づいて複数のデータブロックに対する検証を順次に行い、複数のデータブロックすべてが検証されると、それら複数の順次に検証されたデータブロックをアップグレードのために結合する、ように特に構成される。
In one possible embodiment, the vehicle-mounted controller splits the target upgrade file into multiple upgrade subfiles, uses a preset algorithm to generate multiple interrelated data blocks, and uses a second key. Generates the first message authentication code MAC of multiple data blocks, sequentially sends multiple data blocks carrying the first MAC to the target vehicle-mounted device, and the second key is the symmetric algorithm. Specially configured to be the key,
The vehicle-mounted device to be upgraded sequentially receives multiple data blocks transmitted by the vehicle-mounted controller carrying the first MAC, and uses the second key to generate multiple data based on a preset algorithm. It is specifically configured to perform validation on blocks in sequence, and once all of the data blocks have been validated, combine those sequentially validated data blocks for upgrade.
言い換えると、車両の外部から取得された車両搭載アップグレードパッケージの妥当性を検証した後、本発明の本実施形態のインテリジェント車両の車両搭載制御装置は、車両内伝送中のアップグレードファイルの妥当性を保証するために、アップグレードファイルをブロックに分割し、車両内でMAC処理を行う。加えて、アップグレード対象車両搭載機器がアップグレードファイルのブロックを受信および検査することができるので、誤りを迅速に特定することができる。さらに、MAC検査の計算の複雑さが比較的低い。したがって、車両内のアップグレード能力が比較的弱いアップグレード対象車両搭載機器にとって検査およびアップグレードが比較的容易であることを保証できる。このようにして、車両アップグレードの効率およびセキュリティが保証される。 In other words, after verifying the validity of the vehicle-mounted upgrade package obtained from outside the vehicle, the vehicle-mounted controller of the intelligent vehicle of the present embodiment of the present invention guarantees the validity of the upgrade file during in-vehicle transmission. In order to do so, the upgrade file is divided into blocks and MAC processing is performed in the vehicle. In addition, the vehicle-mounted equipment to be upgraded can receive and inspect blocks of upgrade files, allowing quick identification of errors. In addition, the computational complexity of MAC inspection is relatively low. Therefore, it can be guaranteed that inspection and upgrade are relatively easy for the equipment mounted on the vehicle to be upgraded, which has a relatively weak upgrade capacity in the vehicle. In this way, the efficiency and security of vehicle upgrades are guaranteed.
1つの可能な実施態様では、車両搭載制御装置は、
第3の鍵を使用して複数のアップグレードサブファイルの各々を暗号化し、事前設定アルゴリズムを使用して、第3の鍵を使用して暗号化された複数のアップグレードサブファイルから複数の相互関連データブロックを生成する、
ように特に構成され、
アップグレード対象車両搭載機器は、複数のデータブロックすべてが検証されると、第3の鍵を使用してそれら複数の順次に検証されたデータブロックの各々を解読し、第3の鍵を使用して解読された複数のデータブロックをアップグレードのために結合する、ように特に構成される。
In one possible embodiment, the vehicle-mounted controller
Multiple upgrade subfiles are encrypted using a third key, and multiple interrelated data from multiple upgrade subfiles encrypted using a third key using a preconfigured algorithm. Generate blocks,
Specially configured as
When all of the data blocks to be upgraded are verified, the equipment to be upgraded uses the third key to decrypt each of the multiple sequentially verified data blocks and uses the third key. It is specifically configured to combine multiple decrypted data blocks for upgrade.
言い換えると、本発明の本実施形態のインテリジェント車両の車両搭載制御装置では、アップグレードファイルの機密性が車両内でのアップグレードファイルの伝送中の暗号化によってさらに保証される。 In other words, in the vehicle-mounted controller of the intelligent vehicle of the present embodiment of the present invention, the confidentiality of the upgrade file is further guaranteed by the encryption during transmission of the upgrade file in the vehicle.
1つの可能な実施態様では、ターゲットアップグレードファイルが複数のアップグレードサブファイルを含み、事前設定アルゴリズムを使用して複数のアップグレードサブファイルから複数の相互関連データブロックが生成され、複数のアップグレードサブファイルは、第4の鍵を使用して生成された複数のデータブロックの第2のデジタル署名を搬送し、第4の鍵は非対称鍵であり、
車両搭載制御装置は、複数のデータブロックの第2のデジタル署名を検査し、第5の鍵を使用して複数のデータブロックの第2のMACを生成し、ターゲットアップグレード対象車両搭載機器に、第2のMACを搬送する複数のデータブロックを順次に送信し、第5の鍵が対称アルゴリズム鍵である、ように特に構成され、
アップグレード対象車両搭載機器は、第2のMACを搬送する、車両搭載制御装置によって送信された複数のデータブロックを順次に受信し、第5の鍵を使用して事前設定アルゴリズムに基づいて複数のデータブロックに対する検証を順次に行い、複数のデータブロックすべてが検証されると、それら複数の順次に検証されたデータブロックをアップグレードのために結合する、ように特に構成される。
In one possible embodiment, the target upgrade file contains multiple upgrade subfiles, multiple upgrade subfiles are used to generate multiple interrelated data blocks, and the multiple upgrade subfiles Carrying the second digital signature of multiple data blocks generated using the fourth key, the fourth key is an asymmetric key,
The vehicle-mounted controller inspects the second digital signature of the multiple data blocks and uses the fifth key to generate the second MAC of the multiple data blocks to target the vehicle-mounted equipment to be upgraded. It is specifically configured to send multiple blocks of data carrying two MACs in sequence, with the fifth key being the symmetric algorithm key.
The vehicle-mounted device to be upgraded sequentially receives multiple data blocks transmitted by the vehicle-mounted controller carrying the second MAC, and uses the fifth key to generate multiple data based on a preset algorithm. It is specifically configured to perform validation on blocks in sequence, and once all of the data blocks have been validated, combine those sequentially validated data blocks for upgrade.
言い換えると、車両の外部から取得された、分割および署名されたアップグレードファイルの妥当性を検証した後、本発明の本実施形態のインテリジェント車両の車両搭載制御装置は、車両内伝送中のアップグレードファイルの妥当性を保証するために、アップグレードファイルをブロックに分割し、車両内でMAC処理を行う。加えて、アップグレード対象車両搭載機器がアップグレードファイルのブロックを受信および検査することができるので、誤りを迅速に特定することができる。さらに、MAC検査の計算の複雑さが比較的低い。したがって、車両内のアップグレード能力が比較的弱いアップグレード対象車両搭載機器にとって検査およびアップグレードが比較的容易であることを保証できる。このようにして、車両アップグレードの効率およびセキュリティが保証される。 In other words, after verifying the validity of the split and signed upgrade files obtained from outside the vehicle, the vehicle-mounted controller of the intelligent vehicle of the present embodiment of the present invention is the vehicle-mounted control device of the upgrade file during in-vehicle transmission. To ensure validity, the upgrade file is divided into blocks and MAC processing is performed in the vehicle. In addition, the vehicle-mounted equipment to be upgraded can receive and inspect blocks of upgrade files, allowing quick identification of errors. In addition, the computational complexity of MAC inspection is relatively low. Therefore, it can be guaranteed that inspection and upgrade are relatively easy for the equipment mounted on the vehicle to be upgraded, which has a relatively weak upgrade capacity in the vehicle. In this way, the efficiency and security of vehicle upgrades are guaranteed.
第3の態様によれば、本発明の一実施形態は車両搭載機器アップグレード方法を提供し、本車両搭載機器アップグレード方法は、
ターゲットアップグレード対象車両搭載機器が、車両搭載制御装置によって送信されたターゲットアップグレードファイルを受信するステップであって、ターゲットアップグレードファイルが、車両搭載制御装置によって行われたそのセキュリティ検証が成功した、少なくともターゲットアップグレード対象車両搭載機器をアップグレードするために使用されるアップグレードファイルである、ステップと、ターゲットアップグレード対象車両搭載機器が、ターゲットアップグレードファイルを使用してセキュアなアップグレードを行うステップと
を含み得る。本発明の本実施形態では、ターゲットアップグレード対象車両搭載機器は、そのセキュリティ検証処理が車両搭載制御装置側ですでに行われたアップグレードファイルを受信し、異なるアップグレード能力を有するアップグレード対象車両搭載機器がセキュリティ検証プロセスに関与するのを防止するために、アップグレードファイルを使用して機器アップグレードを行い、それによって、アップグレード対象車両搭載機器が車両搭載アップグレードパッケージを使用してセキュアかつ効率的にアップグレードされることが保証される。
According to a third aspect, one embodiment of the present invention provides a vehicle-mounted device upgrade method, wherein the vehicle-mounted device upgrade method is:
Target Upgrade The target vehicle-mounted device is the step of receiving the target upgrade file sent by the vehicle-mounted controller, and the target upgrade file has been successfully verified for security by the vehicle-mounted controller, at least the target upgrade. It may include steps, which are upgrade files used to upgrade the target vehicle-mounted equipment, and steps in which the target vehicle-mounted equipment performs a secure upgrade using the target upgrade file. In the present embodiment of the present invention, the target upgrade target vehicle-mounted device receives the upgrade file whose security verification process has already been performed on the vehicle-mounted control device side, and the upgrade target vehicle-mounted device having a different upgrade capability is secured. Equipment upgrades can be performed using upgrade files to prevent them from being involved in the verification process, which allows the vehicle-mounted equipment to be upgraded to be upgraded securely and efficiently using the vehicle-mounted upgrade package. Guaranteed.
1つの可能な実施態様では、ターゲットアップグレード対象車両搭載機器が、ターゲットアップグレードファイルを使用してセキュアなアップグレードを行うステップは、ターゲットアップグレード対象車両搭載機器が、A／Bシステム更新アップグレードモードを使用し、ターゲットアップグレードファイルを使用してセキュアなアップグレードを行うステップであって、アップグレード対象車両搭載機器が、そのリソース記憶能力および／もしくは処理能力が事前設定値を超える第1のアップグレード対象車両搭載機器、または事前に指定された第1のアップグレード対象車両搭載機器である、ステップ、を含む。能力が比較的強いアップグレード対象車両搭載機器では、A／Bシステム更新アップグレードモードがアップグレードに使用され得る。 In one possible embodiment, the step in which the target vehicle-mounted device performs a secure upgrade using the target upgrade file is that the target upgrade target vehicle-mounted device uses the A / B system update upgrade mode. A step in which a secure upgrade is performed using the target upgrade file, and the equipment to be upgraded has its resource storage capacity and / or processing capacity exceeding the preset value. Includes Step, which is the first upgrade target vehicle-mounted device specified in. A / B system update upgrade mode may be used for upgrades on relatively strong capacity vehicle-mounted equipment.
1つの可能な実施態様では、ターゲットアップグレードファイルは複数のアップグレードサブファイルを含み、ターゲットアップグレード対象車両搭載機器が、車両搭載制御装置によって送信されたターゲットアップグレードファイルを受信するステップは、ターゲットアップグレード対象車両搭載機器が、第1のMACを搬送する、車両搭載制御装置によって送信された複数のデータブロックを順次に受信するステップであって、複数のデータブロックが、事前設定アルゴリズムを使用して複数のアップグレードサブファイルから生成された複数の相互関連データブロックであり、第1のMACが第2の鍵を使用して生成された複数のデータブロックのメッセージ認証コードであり、第2の鍵が対称鍵である、ステップ、を含み、ターゲットアップグレード対象車両搭載機器が、ターゲットアップグレードファイルを使用してセキュアなアップグレードを行うステップは、ターゲットアップグレード対象車両搭載機器が、第2の鍵を使用して事前設定アルゴリズムに基づいて複数のデータブロックに対する検証を順次に行うステップと、複数のデータブロックすべてが検証されると、ターゲットアップグレード対象車両搭載機器が、順次に検証された複数のデータブロックをアップグレードのために結合するステップと、を含む。言い換えると、車両搭載機器間での車両搭載アップグレードパッケージの伝送中に、事前設定アルゴリズムを使用してアップグレードファイルが複数の関連データブロックに分割され、それらの関連データブロックに対してMAC処理が行われるので、車両搭載制御装置は完全なアップグレードファイルを、別々に伝送することができ、それに対する妥当性検証を別々に行うことができる複数のデータブロックに分割する。加えて、複数のデータブロックが関連付けられているので、セキュリティ問題のあるデータブロックを、関連したアルゴリズムを使用して迅速に特定することもできる。したがって、能力が比較的弱いアップグレード対象車両搭載機器の単位時間あたりの計算作業負荷および計算の複雑さが減少する。アップグレードファイル伝送誤りが発生した後、誤り部分を可能な限り迅速に見つけることができるので、アップグレードファイル全体ではなく誤り部分のみが再送を要求される。このようにして、車両搭載機器のセキュアで効率的なアップグレードがさらに保証される。 In one possible embodiment, the target upgrade file contains multiple upgrade subfiles, and the step in which the target upgrade target vehicle-mounted device receives the target upgrade file sent by the vehicle-mounted controller is the target upgrade target vehicle-mounted device. A step in which the device sequentially receives multiple data blocks transmitted by a vehicle-mounted controller that carry a first MAC, with multiple data blocks using multiple upgrade subs using a preset algorithm. Multiple interrelated data blocks generated from a file, the first MAC is the message authentication code for multiple data blocks generated using the second key, and the second key is the symmetric key. The steps that the target vehicle-mounted device performs a secure upgrade using the target upgrade file, including steps, are based on a preset algorithm that the target upgrade target vehicle-mounted device uses a second key. A step of sequentially validating multiple data blocks and a step of combining the multiple data blocks that have been sequentially verified for the upgrade when all of the multiple data blocks are verified. And, including. In other words, during the transmission of the vehicle-mounted upgrade package between vehicle-mounted equipment, the upgrade file is split into multiple related data blocks using a preset algorithm and MAC processing is performed on those related data blocks. As such, the vehicle-mounted controller divides the complete upgrade file into multiple data blocks that can be transmitted separately and validated against them separately. In addition, since multiple data blocks are associated, a data block with a security problem can be quickly identified using a related algorithm. Therefore, the computational workload and computational complexity per unit time of the upgraded vehicle-mounted equipment with relatively weak capacity is reduced. After an upgrade file transmission error occurs, the error can be found as quickly as possible, so only the error is required to be resent, not the entire upgrade file. In this way, secure and efficient upgrades of vehicle-mounted equipment are further guaranteed.
1つの可能な実施態様では、複数のアップグレードサブファイルは第3の鍵を使用して暗号化され、複数のデータブロックすべてが検証されると、ターゲットアップグレード対象車両搭載機器が、順次に検証された複数のデータブロックをアップグレードのために結合するステップは、複数のデータブロックすべてが検証されると、ターゲットアップグレード対象車両搭載機器が、第3の鍵を使用して複数の順次に検証されたデータブロックの各々を解読し、第3の鍵を使用して解読された複数のデータブロックをアップグレードのために結合するステップ、を含む。車両搭載アップグレードパッケージの妥当性が保証されると同時に車両搭載アップグレードパッケージの機密性がさらに保証され、それによって、車両搭載アップグレードパッケージが権限のない者によって取得されることが防止される。 In one possible embodiment, multiple upgrade subfiles were encrypted using a third key, and when all multiple data blocks were validated, the target vehicle-mounted equipment was validated in sequence. The step of combining multiple data blocks for upgrade is that once all of the data blocks have been validated, the target vehicle-mounted equipment will have multiple sequential validated data blocks using a third key. Includes the steps of decrypting each of the, and combining multiple decrypted data blocks for upgrade using a third key. The validity of the vehicle-mounted upgrade package is guaranteed, while the confidentiality of the vehicle-mounted upgrade package is further guaranteed, thereby preventing the vehicle-mounted upgrade package from being obtained by an unauthorized person.
1つの可能な実施態様では、ターゲットアップグレードファイルは複数のアップグレードサブファイルを含み、ターゲットアップグレード対象車両搭載機器が、車両搭載制御装置によって送信されたターゲットアップグレードファイルを受信するステップは、ターゲットアップグレード対象車両搭載機器が、第2のMACを搬送する、車両搭載制御装置によって送信された複数のデータブロックを順次に受信するステップであって、複数のデータブロックが、事前設定アルゴリズムを使用して複数のアップグレードサブファイルから生成された複数の相互関連データブロックであり、第2のMACが第5の鍵を使用して生成された複数のデータブロックのメッセージ認証コードであり、第5の鍵が対称鍵である、ステップ、を含み、ターゲットアップグレード対象車両搭載機器が、ターゲットアップグレードファイルを使用してセキュアなアップグレードを行うステップは、ターゲットアップグレード対象車両搭載機器が、第5の鍵を使用して事前設定アルゴリズムに基づいて複数のデータブロックに対する検証を順次に行うステップと、複数のデータブロックすべてが検証されると、ターゲットアップグレード対象車両搭載機器が、順次に検証された複数のデータブロックをアップグレードのために結合するステップと、を含む。言い換えると、車両搭載アップグレードパッケージのブロック伝送および署名がアップグレード開発者側で実施され得る。すなわち、車両搭載制御装置によって取得される前に、事前設定アルゴリズムを使用した分割によってデータブロックが取得され、署名される。この場合、車両搭載機器は、データブロックの妥当性をまず検査する必要があり、次いで妥当と検査されたデータブロックに対してMAC処理を行う。このようにして、車両内伝送プロセスでの車両搭載アップグレードファイルの妥当性が保証されると同時に、アップグレード対象車両搭載機器の計算作業負荷および計算の複雑さが減少する。したがって、車両搭載機器はセキュアかつ効率的にアップグレードされる。 In one possible embodiment, the target upgrade file contains multiple upgrade subfiles, and the step in which the target upgrade target vehicle-mounted device receives the target upgrade file sent by the vehicle-mounted controller is the target upgrade target vehicle-mounted device. A step in which the device sequentially receives multiple data blocks transmitted by a vehicle-mounted controller that carry a second MAC, with multiple data blocks using multiple upgrade subs using a preset algorithm. Multiple interrelated data blocks generated from a file, the second MAC is the message authentication code for multiple data blocks generated using the fifth key, and the fifth key is the symmetric key. The steps that the target vehicle-mounted device performs a secure upgrade using the target upgrade file, including steps, are based on a preset algorithm that the target upgrade target vehicle-mounted device uses a fifth key. A step of sequentially validating multiple data blocks and a step of combining the multiple data blocks that have been sequentially verified for the upgrade when all of the multiple data blocks are verified. And, including. In other words, block transmission and signing of vehicle-mounted upgrade packages can be performed by the upgrade developer. That is, the data block is acquired and signed by partitioning using a preset algorithm before it is acquired by the vehicle-mounted controller. In this case, the vehicle-mounted device must first check the validity of the data block, and then perform MAC processing on the checked data block. In this way, the validity of the vehicle-mounted upgrade file in the in-vehicle transmission process is guaranteed, while the computational workload and computational complexity of the vehicle-mounted equipment to be upgraded is reduced. Therefore, vehicle-mounted equipment is upgraded securely and efficiently.
1つの可能な実施態様では、本方法は、ターゲットアップグレード対象車両搭載機器が、車両搭載制御装置からターゲットデータブロックを再取得するステップであって、ターゲットデータブロックが、複数のデータブロック内のターゲットアップグレード対象車両搭載機器でその検証が失敗したデータブロックである、ステップ、をさらに含む。関連ブロックの伝送に基づき、その検証が失敗したデータブロックを迅速に特定することができ、そのような伝送誤りが発生した場合、アップグレードファイル全体ではなく対応するデータブロックのみが再度要求されさえすればよく、それによって、オーバーヘッドが削減され、アップグレード効率が改善され、アップグレードセキュリティが保証される。 In one possible embodiment, the method is a step in which the vehicle-mounted device subject to target upgrade reacquires the target data block from the vehicle-mounted controller, where the target data block is a target upgrade within the plurality of data blocks. It also includes steps, which are data blocks whose verification failed in the target vehicle-mounted equipment. Based on the transmission of the relevant block, the data block whose verification failed can be quickly identified, and in the event of such a transmission error, only the corresponding data block, not the entire upgrade file, needs to be reclaimed. Well, it reduces overhead, improves upgrade efficiency, and guarantees upgrade security.
第4の態様によれば、本出願は、車両搭載機器アップグレード装置を提供する。本車両搭載機器アップグレード装置は、前述の車両搭載機器アップグレード方法実施形態のいずれか1つの方法を実施する機能を有する。この機能は、ハードウェアを使用するか、またはハードウェアが対応するソフトウェアを実行することによって実施され得る。ハードウェアまたはソフトウェアは機能に対応する1つまたは複数のモジュールを含む。 According to a fourth aspect, the present application provides a vehicle-mounted equipment upgrade device. The vehicle-mounted equipment upgrade device has a function of implementing any one of the vehicle-mounted equipment upgrade method embodiments described above. This function may be performed by using the hardware or by running the corresponding software on the hardware. Hardware or software contains one or more modules that correspond to a function.
第5の態様によれば、本出願は、アップグレード対象車両搭載装置を提供する。端末機器は、前述の車両搭載機器アップグレード方法実施形態のいずれか1つの方法を実施する機能を有する。この機能は、ハードウェアを使用するか、またはハードウェアが対応するソフトウェアを実行することによって実施され得る。ハードウェアまたはソフトウェアは機能に対応する1つまたは複数のモジュールを含む。 According to a fifth aspect, the present application provides a vehicle-mounted device to be upgraded. The terminal device has a function of implementing any one of the vehicle-mounted device upgrade method embodiments described above. This function may be performed by using the hardware or by running the corresponding software on the hardware. Hardware or software contains one or more modules that correspond to a function.
第6の態様によれば、本出願は、車両搭載制御装置を提供する。本車両搭載制御装置はプロセッサを含み、プロセッサは、第1の態様で提供される車両搭載機器アップグレード方法における対応する機能を行う際に車両搭載制御装置を支援するように構成される。車両搭載制御装置はメモリをさらに含んでいてもよく、メモリは、プロセッサに結合され、車両搭載制御装置に必要なプログラム命令およびデータを格納する、ように構成される。車両搭載制御装置は、車両搭載制御装置と別の機器または通信ネットワークとの間の通信のための通信インターフェースをさらに含み得る。 According to a sixth aspect, the present application provides a vehicle-mounted control device. The vehicle-mounted controller includes a processor, which is configured to assist the vehicle-mounted controller in performing the corresponding functions in the vehicle-mounted equipment upgrade method provided in the first aspect. The vehicle-mounted controller may further include a memory, which is configured to be coupled to a processor to store program instructions and data required by the vehicle-mounted controller. The vehicle-mounted controller may further include a communication interface for communication between the vehicle-mounted controller and another device or communication network.
第7の態様によれば、本出願は、ターゲットアップグレード対象車両搭載機器を提供する。ターゲットアップグレード対象車両搭載機器はプロセッサを含み、プロセッサは、第3の態様で提供される車両搭載機器アップグレード方法における対応する機能を行う際にターゲットアップグレード対象車両搭載機器を支援するように構成される。ターゲットアップグレード対象車両搭載機器はメモリをさらに含んでいてもよく、メモリは、プロセッサに結合され、ターゲットアップグレード対象車両搭載機器に必要なプログラム命令およびデータを格納する、ように構成される。ターゲットアップグレード対象車両搭載機器は、ターゲットアップグレード対象車両搭載機器と別の機器または通信ネットワークとの間の通信のための通信インターフェースをさらに含み得る。 According to a seventh aspect, the present application provides vehicle-mounted equipment subject to target upgrade. The target upgrade target vehicle-mounted equipment includes a processor, which is configured to assist the target upgrade target vehicle-mounted equipment in performing the corresponding functions in the vehicle-mounted equipment upgrade method provided in the third aspect. The target upgrade target vehicle-mounted device may further include memory, which is configured to be coupled to a processor to store program instructions and data required for the target upgrade target vehicle-mounted device. The target upgrade target vehicle-mounted device may further include a communication interface for communication between the target upgrade target vehicle-mounted device and another device or communication network.
第8の態様によれば、本出願は、第6の態様で提供される車両搭載制御装置によって使用されるコンピュータソフトウェア命令を格納するように構成された、コンピュータ記憶媒体を提供する。コンピュータソフトウェア命令は、前述の態様を実施するように設計されたプログラムを含む。 According to an eighth aspect, the present application provides a computer storage medium configured to store computer software instructions used by the vehicle-mounted controller provided in the sixth aspect. Computer software instructions include programs designed to implement the aforementioned embodiments.
第9の態様によれば、本出願は、第7の態様で提供されるターゲットアップグレード対象車両搭載機器によって使用されるコンピュータソフトウェア命令を格納するように構成された、コンピュータ記憶媒体を提供する。コンピュータソフトウェア命令は、前述の態様を実施するように設計されたプログラムを含む。 According to a ninth aspect, the present application provides a computer storage medium configured to store computer software instructions used by the target upgrade target vehicle-mounted device provided in the seventh aspect. Computer software instructions include programs designed to implement the aforementioned embodiments.
第10の態様によれば、本発明の一実施形態はコンピュータプログラムを提供する。本コンピュータプログラムは命令を含み、本コンピュータプログラムがコンピュータによって実行されると、コンピュータは、第1の態様の任意の可能な実施態様における車両搭載機器アップグレード方法のステップを行うことができるようになる。 According to a tenth aspect, one embodiment of the present invention provides a computer program. The computer program includes instructions, and when the computer program is executed by the computer, the computer will be able to perform the steps of the vehicle-mounted equipment upgrade method in any possible embodiment of the first aspect.
第11の態様によれば、本発明の一実施形態はコンピュータプログラムを提供する。本コンピュータプログラムは命令を含み、本コンピュータプログラムがコンピュータによって実行されると、コンピュータは、第3の態様の任意の可能な実施態様における車両搭載機器アップグレード方法のステップを行うことができるようになる。 According to an eleventh aspect, one embodiment of the present invention provides a computer program. The computer program includes instructions, and when the computer program is executed by the computer, the computer will be able to perform the steps of the vehicle-mounted equipment upgrade method in any possible embodiment of the third aspect.
第12の態様によれば、本出願はチップシステムを提供する。本チップシステムは、前述の態様に関連した機能を実施する際、例えば、前述の方法においてデータおよび／または情報を受信または処理する際に、ターゲットアップグレード対象車両搭載機器または車両搭載制御装置を支援するように構成された、プロセッサを含む。1つの可能な設計では、本チップシステムはメモリをさらに含み、メモリは、ターゲットアップグレード対象車両搭載機器または車両搭載制御装置に必要なプログラム命令およびデータを格納するように構成される。本チップシステムはチップを含み得るか、またはチップと別のディスクリートデバイスとを含み得る。 According to a twelfth aspect, the present application provides a chip system. The chip system assists a target upgrade target vehicle-mounted device or vehicle-mounted controller when performing functions related to the aforementioned aspects, eg, when receiving or processing data and / or information in the manner described above. Includes a processor configured to. In one possible design, the chip system further includes memory, which is configured to store program instructions and data required for the target upgrade target vehicle-mounted device or vehicle-mounted controller. The chip system may include a chip, or it may include a chip and another discrete device.
以下で、本発明の実施形態における添付の図面を参照して本発明の実施形態を説明する。 Hereinafter, embodiments of the present invention will be described with reference to the accompanying drawings in the embodiments of the present invention.
本出願の明細書、特許請求の範囲および添付の図面において、「第1」、「第2」、「第3」、「第4」などの用語は、異なる対象を区別するためのものであり、特定の順序を示すものではない。加えて、「including」および「having」およびそれらの任意の他の変形は、非排他的包含を対象として含むことが意図されている。例えば、一連のステップもしくはユニットを含むプロセス、方法、システム、製品、もしくは機器は、記載されたステップもしくはユニットに限定されず、任意選択で、記載されていないステップもしくはユニットをさらに含み、または任意選択で、そのプロセス、方法、製品、もしくは機器の別の固有のステップもしくはユニットをさらに含む。 In the specification of the present application, the scope of claims and the accompanying drawings, terms such as "1st", "2nd", "3rd" and "4th" are used to distinguish different objects. , Does not indicate a specific order. In addition, "including" and "having" and any other variations thereof are intended to include non-exclusive inclusion. For example, a process, method, system, product, or device that includes a series of steps or units is not limited to the described steps or units, but optionally further includes or optionally includes undescribed steps or units. And further includes another unique step or unit of the process, method, product, or equipment.
本明細書で「実施形態」という場合それは、その実施形態を参照して説明される特定の特性、構造、または特徴が、本出願の少なくとも1つの実施形態に含まれ得ることを意味する。本明細書の様々な箇所に示されている語句は、必ずしも同じ実施形態を指しているとは限らず、別の実施形態を排除する独立した、または任意選択の実施形態ではない。本明細書に記載される実施形態が別の実施形態と組み合わされ得ることが、当業者には明示的にも暗黙的にも理解される。 As used herein by reference, it means that a particular property, structure, or feature described with reference to that embodiment may be included in at least one embodiment of the present application. The terms used in various parts of the specification do not necessarily refer to the same embodiment and are not independent or optional embodiments that exclude another embodiment. It will be appreciated by those skilled in the art, both explicitly and implicitly, that the embodiments described herein can be combined with other embodiments.
本明細書で使用される「構成要素」、「モジュール」、「システム」などの用語は、コンピュータに関連したエンティティ、ハードウェア、ファームウェア、ハードウェアとソフトウェアの組み合わせ、ソフトウェア、または実行されているソフトウェアを指示するのに使用される。例えば、構成要素は、プロセッサ上で実行されるプロセス、プロセッサ、オブジェクト、実行可能ファイル、実行スレッド、プログラム、および／またはコンピュータであり得るが、これに限定されない。各図に示されるように、コンピューティングデバイスとコンピューティングデバイス上で実行されるアプリケーションはどちらも構成要素であり得る。プロセスおよび／または実行スレッド内に1つまたは複数の構成要素があってもよく、構成要素は、1つのコンピュータ上に位置していてもよく、かつ／または少なくとも2台のコンピュータ間で分散されてもよい。加えて、これらの構成要素は、様々なデータ構造を格納する様々なコンピュータ可読媒体から実行されてもよい。例えば、構成要素は、例えば、1つまたは複数のデータパケット（例えば、ローカルシステムで、分散システムで、かつ／または信号を使用して他のシステムとやりとりするインターネットなどのネットワークを介して別の構成要素とやりとりする2つの構成要素からのデータ）を有する信号に基づき、ローカルプロセスおよび／またはリモートプロセスを使用して通信し得る。 As used herein, terms such as "component," "module," and "system" refer to computer-related entities, hardware, firmware, hardware-to-software combinations, software, or software running. Used to indicate. For example, components can be, but are not limited to, processes, processors, objects, executable files, threads of execution, programs, and / or computers running on the processor. As shown in each figure, both the computing device and the application running on the computing device can be components. There may be one or more components within the process and / or execution thread, the components may be located on one computer and / or distributed among at least two computers. May be good. In addition, these components may be executed from various computer-readable media that store various data structures. For example, a component may be another configuration over a network, such as the Internet, where one or more data packets (eg, local systems, distributed systems, and / or signals are used to interact with other systems. It can communicate using local and / or remote processes based on signals that have data from two components that interact with the element.
まず、当業者の理解を容易にするために、本出願におけるいくつかの用語を説明する。 First, some terms in this application will be described for ease of understanding by those skilled in the art.
（1）．無線技術（Over−the−air Technology、OTA）とは、移動通信においてエアインターフェースを介してリモートファームウェアまたはソフトウェアアップグレードを行うための技術である。 (1). Wireless technology (Over-the-air Technology, OTA) is a technology for performing remote firmware or software upgrades via an air interface in mobile communications.
（2）．車両搭載情報サービス（Telematics）とは、電気通信（Telecommunications）と情報科学（Informatics）の複合語であり、自動車、航空機、船舶、または列車などのビークルに組み込まれたコンピュータシステム、無線通信技術、衛星航法装置、またはテキストや音声などの情報を交換するためのインターネット技術を使用して情報を提供するサービスシステムとして文字通り定義され得る。手短には、このサービスシステムは、無線ネットワークを使用してビークルをインターネットに接続し、ビークル所有者に、運転および生活に必要な様々な情報を提供する。 (2). Vehicle-mounted information services (Telematics) is a compound term of telecommunications and informatics, computer systems, wireless communication technologies, and satellites embedded in vehicles such as automobiles, aircraft, ships, or trains. It can be literally defined as a navigation device, or a service system that provides information using Internet technology for exchanging information such as text and voice. In short, the service system uses a wireless network to connect the vehicle to the Internet and provide the vehicle owner with a variety of information necessary for driving and living.
（3）．電子制御ユニット（Electronic Control Unit、ECU）とは、使用の観点から見た車両固有のマイクロコントローラである。一般のコンピュータと同様に、電子制御ユニットは、マイクロプロセッサ（CPU）、メモリ（ROM、RAM）、入力／出力インターフェース（I／O）、アナログ・デジタル変換器（A／D）、整形器、およびドライブなどの大規模集積回路を含む。 (3). An electronic control unit (ECU) is a vehicle-specific microcontroller from the viewpoint of use. Like a typical computer, electronic control units include a microprocessor (CPU), memory (ROM, RAM), input / output interface (I / O), analog-to-digital converter (A / D), shaper, and Includes large scale integrated circuits such as drives.
（4）．車両制御ユニット（Vehicle control unit、VCU）は、統合電気自動車コントローラとも呼ばれ得る。VCUは、電気自動車パワートレインの全体のコントローラであり、エンジン、駆動モータ、ギアボックス、および動力バッテリなどの部品の動作を調整する責任を負い、車両の電力性能、安全性能、および経済効率を改善する機能を有する。VCUは、統合電気自動車制御システムの中核部であり、電気自動車のモータの始動、動作、前進および後退、速度、ならびに停止を制御し、電気自動車の別の電気機器を制御するように構成されたコアコントローラである。純粋な電気自動車の制御システムの中核部として、VCUは、データ交換、安全管理、運転者意図解釈、および電力ストリーム管理などのタスクの責任を負う。VCUは、モータ制御システムの信号、アクセルペダルの信号、ブレーキペダルの信号、および別の部品の信号を収集し、包括的な解析を行った後で運転者の運転意図を判断し、応答し、下位層部品のコントローラの動作を監視する。VCUは、通常の車両運転、バッテリ電力の制動および再生、ネットワーク管理、故障診断および処理、ならびに車両状況監視などの機能で重要な役割を果たす。 (Four). A vehicle control unit (VCU) can also be referred to as an integrated electric vehicle controller. The VCU is the overall controller of the electric vehicle powertrain and is responsible for coordinating the operation of parts such as the engine, drive motor, gearbox and power battery, improving vehicle power performance, safety performance and economic efficiency. Has the function of The VCU is the core of an integrated electric vehicle control system and is configured to control the start, operation, forward and backward, speed, and stop of the electric vehicle motor and control other electrical equipment in the electric vehicle. It is a core controller. As the core of a pure electric vehicle control system, the VCU is responsible for tasks such as data exchange, safety management, driver intent interpretation, and power stream management. The VCU collects motor control system signals, accelerator pedal signals, brake pedal signals, and signals of other components, performs a comprehensive analysis, and then determines and responds to the driver's driving intentions. Monitor the operation of the lower layer component controller. VCUs play important roles in functions such as normal vehicle driving, battery power braking and regeneration, network management, failure diagnosis and processing, and vehicle status monitoring.
（6）．コントローラエリアネットワーク（Controller Area Network、CAN）バスとは、世界で最も広く適用されているフィールドバスである。CANバスの高信頼性と強力な誤り検出能力は多くの注目を集めており、したがってCANバスは、車両コンピュータ制御システム、ならびにハッシュ周囲温度、強い電磁放射、および激しい振動を伴う産業環境に広く適用されている。CANバスは、広く適用されているフィールドバスであり、工業計測および制御ならびに工業自動化などの分野で大きな応用展望を有する。CANは、シリアル通信バスネットワークである。CANバスには、データ通信における信頼性、リアルタイム、および柔軟性という利点がある。透過的な設計および柔軟な実行のために、CANバスの構造は、ISO／OSI標準モデルに従って物理層とデータリンク層（論理リンク制御LLC副層と媒体アクセス制御MAC副層とを含む）とに分割される。 (6). The Controller Area Network (CAN) bus is the most widely applied fieldbus in the world. The reliability and powerful error detection capability of the CAN bus has received a lot of attention, so the CAN bus is widely applied to vehicle computer control systems as well as industrial environments with hash ambient temperatures, strong electromagnetic radiation, and violent vibrations. Has been done. The CAN bus is a widely applied fieldbus and has great application prospects in fields such as industrial measurement and control and industrial automation. CAN is a serial communication bus network. The CAN bus has the advantages of reliability, real-time, and flexibility in data communication. For transparent design and flexible execution, the structure of the CAN bus is in the physical layer and data link layer (including the logical link control LLC sublayer and the medium access control MAC sublayer) according to the ISO / OSI standard model. It is divided.
（7）．メッセージ認証コード（Message Authentication Code、MAC）とは、信号源のための符号化機能である。MACは、ダイジェストアルゴリズムと類似しているが、計算時に鍵を使用する必要があり、したがってMACは、使用される鍵とそのMACが計算される必要がある情報の両方に依存する。実際には、MACは通常、ダイジェストアルゴリズムに基づく構築によって取得される。 (7). A message authentication code (MAC) is an encoding function for a signal source. The MAC is similar to the digest algorithm, but the key must be used during the calculation, so the MAC depends on both the key used and the information on which the MAC needs to be calculated. In practice, the MAC is usually obtained by construction based on the digest algorithm.
（8）．鍵導出アルゴリズム（Key Derivation Function、KDF）とは、暗号化および解読時に使用される鍵導出関数である。鍵導出関数の機能は、共有秘密ビットシリアルポートから鍵データを導出することである。鍵折衝時に、鍵導出関数は、鍵交換において取得された秘密ビットストリングに作用して、必要なセッション鍵またはさらなる暗号化に必要な鍵データを生成する。 (8). A key derivation function (KDF) is a key derivation function used during encryption and decryption. The function of the key derivation function is to derive the key data from the shared secret bit serial port. During key negotiation, the key derivation function acts on the secret bitstring obtained in the key exchange to generate the required session key or key data required for further encryption.
（9）．公開鍵暗号（非対称暗号）：公開鍵暗号は非対称暗号とも呼ばれる。非対称鍵アルゴリズムとは、暗号化アルゴリズムの暗号鍵がその暗号化アルゴリズムの解読鍵と異なるか、または暗号化アルゴリズムの一方の鍵を他方の鍵を使用して推定できないことを意味する。公開鍵暗号を有するユーザは暗号鍵と解読鍵を有し、暗号鍵を使用して解読鍵を取得することができない。加えて、暗号鍵は公開である。公開鍵暗号はこの原理に基づいて、秘密鍵として支援情報（トラップドア情報）を使用するように設計される。このタイプの暗号のセキュリティは、このタイプの暗号が基礎とする問題の計算の複雑さに依存する。現在、一般的な公開鍵暗号には、RSA公開鍵暗号、ElGamal公開鍵暗号、および楕円曲線暗号が含まれる。 (9). Public-key cryptography (asymmetric cryptography): Public-key cryptography is also called asymmetric cryptography. The asymmetric key algorithm means that the encryption key of the encryption algorithm is different from the decryption key of the encryption algorithm, or one key of the encryption algorithm cannot be estimated using the other key. A user with public key cryptography has an encryption key and a decryption key, and cannot obtain the decryption key using the encryption key. In addition, the encryption key is public. Based on this principle, public key cryptography is designed to use support information (trapdoor information) as a private key. The security of this type of cipher depends on the computational complexity of the problems underlying this type of cipher. Currently, common public key cryptography includes RSA public key cryptography, ElGamal public key cryptography, and elliptic curve cryptography.
（10）．対称暗号：対称鍵暗号化は専用鍵暗号化とも呼ばれる。具体的には、データ送信側とデータ受信側とが必ず同じ鍵を使用して平文に対する暗号化操作および解読操作を行う。すなわち、暗号鍵を解読鍵から推定することができ、逆もまた同様である。ほとんどの対称アルゴリズムでは、暗号鍵は解読鍵と同じである。これらのアルゴリズムは、秘密鍵アルゴリズムまたは単一鍵アルゴリズムとも呼ばれ、送信側と受信側とがセキュアな通信の前に鍵に同意することを必要とする。対称アルゴリズムのセキュリティは鍵に依存し、鍵の漏出は、誰でもメッセージを暗号化および解読することができることを意味する。鍵は、通信が機密性を必要とするならば秘密に保持される必要がある。 (Ten). Symmetrical encryption: Symmetrical key encryption is also called dedicated key encryption. Specifically, the data transmitting side and the data receiving side always use the same key to perform the encryption operation and the decryption operation on the plaintext. That is, the encryption key can be inferred from the decryption key and vice versa. In most symmetric algorithms, the encryption key is the same as the decryption key. These algorithms, also called private key algorithms or single key algorithms, require the sender and receiver to consent to the key prior to secure communication. The security of the symmetric algorithm depends on the key, and a key leak means that anyone can encrypt and decrypt the message. The key needs to be kept confidential if the communication requires confidentiality.
対称鍵アルゴリズムおよび非対称鍵アルゴリズムに関する前述の説明から次のことが分かる。同じ鍵が対称鍵暗号化と対称鍵解読の両方に使用されるか、または暗号鍵から解読鍵を推定するのが容易である。加えて、対称鍵アルゴリズムには、暗号化処理が容易、暗号化および解読が速い、鍵が比較的短い、開発の歴史が長いなどの特徴があり、非対称鍵アルゴリズムには、暗号化および解読が遅い、鍵が長い、開発の歴史が短いなどの特徴がある。 From the above description of the symmetric key algorithm and the asymmetric key algorithm, the following can be seen. The same key is used for both symmetric key encryption and symmetric key decryption, or it is easy to infer the decryption key from the encryption key. In addition, symmetric key algorithms have features such as easy encryption, fast encryption and decryption, relatively short keys, and a long history of development, while asymmetric key algorithms have encryption and decryption. It is characterized by slowness, long keys, and a short development history.
（11）．トランスポート層セキュリティ（Transport Layer Security、TLS）プロトコルが、機密性と、2つのアプリケーションプログラム間のデータ整合性を提供するために使用される。プロトコルは2つの層、TLSレコード（TLS Record）プロトコルとTLSハンドシェイク（TLS Handshake）プロトコルとを含む。トランスポート層セキュリティ（TLS）プロトコルは、機密性と、2つの通信アプリケーションプログラム間のデータ整合性を提供するために使用される。 (11). The Transport Layer Security (TLS) protocol is used to provide confidentiality and data integrity between two application programs. The protocol includes two layers, the TLS Record protocol and the TLS Handshake protocol. The Transport Layer Security (TLS) protocol is used to provide confidentiality and data integrity between two communication application programs.
まず、本出願で解決される必要がある技術的問題および適用シナリオを示す。先行技術では、従来の車両搭載機器がファームウェア／ソフトウェアアップグレードのために回収される。具体的には、車両が、その具体的な実施態様が以下の解決策1および解決策2である以下の方法を使用してファームウェア／ソフトウェアをアップグレードするために、自動車修理工場や4Sストアなどの指定場所に回収される。 First, the technical problems and application scenarios that need to be resolved in this application are shown. In the prior art, traditional vehicle-mounted equipment is reclaimed for firmware / software upgrades. Specifically, the vehicle, such as an auto repair shop or 4S store, to upgrade the firmware / software using the following methods, the specific embodiments of which are Solution 1 and Solution 2 below. It will be collected at the designated place.
解決策1：ジェイタグ（Joint Test Action Group、JTAG）インターフェースまたはバックグラウンドデバッグモード（Background Debugging Mode、BDM）インターフェースを使用して、オンライン書込みを行うか、または車両搭載機器が分解された後で書込みを行う。具体的には、方法1および方法2が含まれ得る。 Solution 1: Use the Joint Test Action Group (JTAG) interface or the Background Debugging Mode (BDM) interface to write online or after the vehicle-mounted equipment has been disassembled. Do. Specifically, method 1 and method 2 may be included.
方法1：まず、パーソナルコンピュータ（personal computer、PC）を使用してプログラマにアップグレード対象ソフトウェアをダウンロードし、プログラマをプログラミング機器に接続し、プログラミング機器に車両電子制御システムのプリント回路基板（Printed Circuit Board、PCB）を配置してプリント回路基板をダウンロードインターフェースと位置合わせし、最後にプログラマの電源を入れてソフトウェアを書き込む。 Method 1: First, use a personal computer (PC) to download the software to be upgraded to the programmer, connect the programmer to the programming equipment, and then connect the programmer to the programming equipment with the Printed Circuit Board of the vehicle electronic control system. Place the PCB) to align the printed circuit board with the download interface, and finally turn on the programmer and write the software.
方法2：PCおよびシングルチップマイクロコンピュータのプログラムダウンロードデータラインを車両電子制御システムのPCBに直列に接続し、PCを操作してシングルチップマイクロコンピュータにプログラムを直接ダウンロードする。 Method 2: Program download for PC and single-chip microcomputer Connect the data line in series with the PCB of the vehicle electronic control system and operate the PC to download the program directly to the single-chip microcomputer.
前述の方法1および方法2には、熟練者を要し、コストが高く、操作が非常に不便であるという問題がある。 The above-mentioned methods 1 and 2 have problems that they require a skilled person, are expensive, and are very inconvenient to operate.
解決策2：CANバスの車載式故障診断（On−Board Diagnostic、OBD）に基づいてフラッシュ書込みを行う。 Solution 2: Perform flash writing based on CAN bus on-board diagnostics (OBD).
ステップ1．車両電子システムの通常のアプリケーションプログラム動作状態からリフレッシュモードに入る（割込または診断をトリガする）。 step 1. Enters refresh mode from the normal application program operating state of the vehicle electronics system (triggers an interrupt or diagnostic).
ステップ2．車両電子コントローラチップのメモリを検査し、メモリに正しいアプリケーションプログラムが格納されているかどうかを判断する。 Step 2. Inspect the memory of the vehicle electronic controller chip to determine if the memory contains the correct application program.
ステップ3．メモリに正しいアプリケーションプログラムがない場合、診断機器からアプリケーションプログラムソフトウェアをダウンロードし、CANバスを介してアプリケーションプログラムソフトウェアを伝送し、Flash内のアプリケーションプログラムをリフレッシュする（リフレッシュモジュールがソフトウェア書込みを開始および案内するように構成される）。 Step 3. If the correct application program is not in memory, download the application program software from the diagnostic device, transmit the application program software over the CAN bus, and refresh the application program in Flash (refresh module starts and guides software writing). Is configured as).
解決策2には、熟練者を要し、サイクルが長いという問題がある。 Solution 2 has the problem of requiring skill and a long cycle.
前述の解決策1および解決策2に加えて、現在、リモートアップグレードが一部の車両に実施されている。しかしながら、リモートアップグレードは一般に、主として計算能力が比較的強く記憶空間が比較的大きい車両搭載機器に実施される。言い換えると、現在、計算能力が比較的弱いかまたは記憶空間が比較的小さい車両搭載機器に、セキュアで効率的なファームウェア／ソフトウェアアップグレード方法を提供することができない。したがって、車両搭載システム内の様々なアップグレード能力を有するアップグレード対象車両搭載機器のためにセキュアで効率的なファームウェア／ソフトウェアアップグレードをどのように実施するかが、本出願で実際に解決される必要がある技術的問題である。 In addition to Solution 1 and Solution 2 above, remote upgrades are currently being implemented on some vehicles. However, remote upgrades are generally performed primarily on vehicle-mounted equipment with relatively high computational power and relatively large storage space. In other words, it is currently not possible to provide a secure and efficient firmware / software upgrade method for vehicle-mounted equipment with relatively weak computing power or relatively small storage space. Therefore, how to perform secure and efficient firmware / software upgrades for upgradeable vehicle-mounted equipment with various upgrade capabilities within the vehicle-mounted system needs to be resolved in practice in this application. It's a technical issue.
本発明の実施形態の理解を容易にするために、前述の説明に基づき、以下でまず、本発明の実施形態に適用される車両搭載アップグレードシステムアーキテクチャを説明する。図1は、本発明の一実施形態による車両搭載システムアップグレードアーキテクチャ（略してアーキテクチャ1）の図である。本出願で提供される車両搭載機器アップグレード方法はこのシステムアーキテクチャに適用され得る。システムアーキテクチャは、アップグレードサーバと、車両搭載制御装置と、HMI（ヒューマンマシンインターフェース）、BMS（バッテリ管理システム）、ECU1、およびECU2などの複数のアップグレード対象車両搭載機器とを含む。車両搭載制御装置は、複数のアップグレード対象車両搭載機器のアップグレードプロセスを管理および支援するように構成されたTelematics ユニットおよびOTAオーケストレータ（OTA Orchestrator）ユニットを含み得る。このシステムアーキテクチャでは、車両搭載機器のリモートアップグレードは、アップグレードパッケージのリリース、アップグレードパッケージの取得、アップグレードパッケージの車両内伝送、ならびにアップグレードおよび確認、の基本プロセスを含み得る。 In order to facilitate the understanding of the embodiments of the present invention, the vehicle-mounted upgrade system architecture applied to the embodiments of the present invention will first be described below based on the above description. FIG. 1 is a diagram of a vehicle-mounted system upgrade architecture (abbreviated as architecture 1) according to an embodiment of the present invention. The vehicle-mounted equipment upgrade method provided in this application may be applied to this system architecture. The system architecture includes an upgrade server, a vehicle-mounted controller, and multiple upgraded vehicle-mounted devices such as HMI (human-machine interface), BMS (battery management system), ECU1, and ECU2. The vehicle-mounted controller may include a Telematics unit and an OTA Orchestrator unit that are configured to manage and assist the upgrade process of multiple upgraded vehicle-mounted equipment. In this system architecture, remote upgrade of vehicle-mounted equipment may include the basic processes of releasing an upgrade package, obtaining an upgrade package, transmitting the upgrade package in-vehicle, and upgrading and verifying.
アップグレードサーバは、開発者から暗号化されていない車両搭載アップグレードパッケージを取得するように構成される。 The upgrade server is configured to get an unencrypted vehicle-mounted upgrade package from the developer.
車両搭載制御装置内のTelematics は、外部との通信の責任を負う。本出願では、テレマティクスは、車両搭載アップグレードパッケージを取得するタスクを実施し、車両搭載アップグレードパッケージを伝送するいくつかの動作を実施する（車両搭載アップグレードパッケージをOTA Orchestratorに送信する）ための、アップグレードサーバおよび鍵サーバとの通信の責任を負う。 Telematics within the vehicle-mounted controller is responsible for communicating with the outside world. In this application, Telematics is an upgrade server for performing the task of obtaining a vehicle-mounted upgrade package and performing some actions to transmit the vehicle-mounted upgrade package (sending the vehicle-mounted upgrade package to OTA Orchestrator). And is responsible for communication with the key server.
車両搭載制御装置内のOTA Orchestratorは、車両内のアップグレード対象車両搭載機器との通信の責任を負う。本出願では、車両搭載アップグレードパッケージは、Telematicsおよび管理ユニット／モジュールを通り、最終的にはターゲットアップグレード対象車両搭載機器に到達する。OTA Orchestratorの主機能は、車両搭載機器のアップグレードプロセスの管理および支援である。具体的には、OTA Orchestratorは以下の機能を持つ必要がある：鍵の配布および管理、OTAプロセス管理、大きな計算作業負荷を必要とする動作で能力の弱い別のアップグレード対象車両搭載機器を支援すること、例えば、アップグレードパッケージの整合性および信憑性を検証することや、Transcoding（コード変換）、ならびにアップグレードが失敗したときのロールバックのために、能力の弱い別のアップグレード対象車両搭載機器のバックアップノードの役割を果たすこと。OTA Orchestratorは論理エンティティであり、Telematics、Gateway、またはVCUなどの任意の強力なユニットまたはモジュール上に物理的に配置することができる。OTA Orchestratorの構造は図2に示され得る。図2は、本発明の一実施形態によるOTA Orchestratorの概略的構造図である。OTA Orchestratorは、プロセッサCPU、関連した揮発性メモリRAM、関連した不揮発性メモリROM、および鍵、例えば、車両搭載機器と共有される静的鍵を格納するように構成されたセキュアな記憶装置を含み得る。OTA Orchestratorは、OTA管理プログラムを格納するように構成されたメモリをさらに含み、OTA管理プログラムは、アップグレードプロセスを管理するために使用され、CAN busまたは別の車両内ネットワークを介して別の車両搭載機器と通信できるネットワークインターフェースをさらに含む。OTA OrchestratorがTelematics上で実施される場合、OTA Orchestratorは、ネットワークインターフェースが外部ネットワークと通信することをさらに必要とすることが理解できよう。すなわち、OTA Orchestratorは、車両搭載機器がリモートアップグレードを完了するのを支援し、別の車両搭載機器によって信頼されるように、比較的強力な計算能力と比較的大容量のリソースとを有する必要がある。論理アーキテクチャ分割に関して、OTA Orchestratorはアーキテクチャを、車両外通信部分と車両内通信部分とに分割する。車両内部分の機器は、公開鍵暗号操作ではなく、対称暗号操作を行いさえすればよい。公開鍵操作が行われる必要がある場合、公開鍵操作は、車両内のアップグレード対象機器の計算作業負荷および計算の複雑さを低減させるために、OTA Orchestratorに割り当てられる。 The OTA Orchestrator in the vehicle-mounted controller is responsible for communicating with the vehicle-mounted equipment to be upgraded in the vehicle. In this application, the vehicle-mounted upgrade package passes through Telematics and management units / modules and finally reaches the target vehicle-mounted equipment for upgrade. The main function of OTA Orchestrator is to manage and assist the upgrade process of vehicle-mounted equipment. Specifically, the OTA Orchestrator must have the following features: Key distribution and management, OTA process management, and support for other low-capacity vehicle-mounted equipment for operations that require heavy computational workloads: A backup node for another vehicle-mounted device to be upgraded that is less capable for verifying the integrity and authenticity of the upgrade package, for example, for transcoding, and rollback in the event of an upgrade failure. To play the role of. OTA Orchestrator is a logical entity that can be physically placed on any powerful unit or module such as Telematics, Gateway, or VCU. The structure of the OTA Orchestrator can be shown in Figure 2. FIG. 2 is a schematic structural diagram of an OTA Orchestrator according to an embodiment of the present invention. The OTA Orchestrator includes a processor CPU, associated volatile memory RAM, associated non-volatile memory ROM, and a secure storage device configured to store keys, such as static keys shared with vehicle-mounted equipment. obtain. The OTA Orchestrator also includes memory configured to store the OTA management program, which is used to manage the upgrade process and is mounted on another vehicle via CAN bus or another in-vehicle network. It also includes a network interface that can communicate with the device. When OTA Orchestrator is implemented on Telematics, it can be seen that OTA Orchestrator needs more network interfaces to communicate with external networks. That is, the OTA Orchestrator must have relatively powerful computing power and relatively large resources to help the vehicle-mounted equipment complete the remote upgrade and be trusted by another vehicle-mounted equipment. is there. Regarding the logical architecture division, OTA Orchestrator divides the architecture into an out-of-vehicle communication part and an in-vehicle communication part. The equipment inside the vehicle only needs to perform a symmetric cryptographic operation instead of a public key cryptographic operation. When public key operations need to be performed, they are assigned to OTA Orchestrator to reduce the computational workload and computational complexity of the equipment to be upgraded in the vehicle.
アップグレード対象車両搭載機器について、アップグレード対象車両搭載機器のいずれか1つの構成は図3に示され得る。図3は、本発明の一実施形態によるアップグレード対象車両搭載機器の概略的構造図である。アップグレード対象車両搭載機器は、マイクロコントローラ（Micro controller）と、CANコントローラ（CAN controller）と、送受信機（Transceiver）とを含み得る。アップグレード対象車両搭載機器は、送受信機Transceiverを使用してCAN busなどの車両内ネットワークと通信する。CAN controllerは、CANプロトコルを実施するように構成され、マイクロコントローラは、アップグレードの前後の関連した計算処理を実施するように構成される。例えば、マイクロコントローラは、本出願でアップグレード対象車両搭載機器によって行われる車両搭載機器アップグレード方法を実施し得る。前述の概略的構造図を参照すると、本出願では、ターゲットアップグレード対象車両搭載機器が、送受信機（Transceiver）を使用してCAN busなどの車両内ネットワークに基づいて、車両搭載制御装置によって送信されたターゲットアップグレードファイルを受信し、ターゲットアップグレードファイルおよびマイクロコントローラ（Micro Controller）を使用してセキュアなアップグレードを行う。より具体的な機能については、後続の実施形態におけるアップグレード対象車両搭載機器に関連した機能に関する説明を参照されたい。 For the equipment mounted on the vehicle to be upgraded, the configuration of any one of the equipment mounted on the vehicle to be upgraded may be shown in FIG. FIG. 3 is a schematic structural diagram of a vehicle-mounted device to be upgraded according to an embodiment of the present invention. Vehicle-mounted equipment to be upgraded may include a microcontroller (Micro controller), a CAN controller (CAN controller), and a transceiver (Transceiver). Vehicle-mounted equipment to be upgraded uses the transceiver Transceiver to communicate with the in-vehicle network such as CAN bus. The CAN controller is configured to perform the CAN protocol and the microcontroller is configured to perform the relevant computational processing before and after the upgrade. For example, the microcontroller may implement the vehicle-mounted equipment upgrade method performed by the vehicle-mounted equipment to be upgraded in this application. With reference to the schematic structure above, in this application, the target upgrade target vehicle-mounted equipment was transmitted by the vehicle-mounted controller based on an in-vehicle network such as CAN bus using a transmitter / receiver (Transceiver). Receive the target upgrade file and use the target upgrade file and the Micro Controller to perform a secure upgrade. For more specific functions, refer to the description of the functions related to the equipment mounted on the vehicle to be upgraded in the subsequent embodiments.
アップグレード対象車両搭載機器の概略的構造図から、CANバスは現在の車両で一般に使用されているが、CANバスは帯域幅に影響を及ぼすことが分かる。ゆえに、いくつかのアップグレードシナリオでは、車両搭載機器のファームウェア／ソフトウェアのリモートアップグレードで最大アップグレード効率を達成することができない。 From the schematic structural drawing of the equipment mounted on the vehicle to be upgraded, it can be seen that the CAN bus is commonly used in current vehicles, but the CAN bus affects the bandwidth. Therefore, in some upgrade scenarios, remote upgrade of vehicle-mounted equipment firmware / software cannot achieve maximum upgrade efficiency.
図4は、本発明の一実施形態による別の車両搭載システムアップグレードアーキテクチャ（略してアーキテクチャ2）の図である。図1に示されているシステムアップグレードアーキテクチャとは異なり、この車両搭載システムアップグレードアーキテクチャは鍵サーバをさらに含む。 FIG. 4 is a diagram of another vehicle-mounted system upgrade architecture (abbreviated as architecture 2) according to one embodiment of the present invention. Unlike the system upgrade architecture shown in Figure 1, this vehicle-mounted system upgrade architecture also includes a key server.
アップグレードサーバは、開発者から、開発者によって暗号化された車両搭載アップグレードパッケージを取得するように構成される。 The upgrade server is configured to obtain a developer-encrypted vehicle-mounted upgrade package from the developer.
鍵サーバは、車両搭載アップグレードパッケージが開発者によって暗号化されるときに、セキュアなチャネルを介して開発者から鍵を取得し、鍵を格納し、最後に鍵を車両搭載制御装置に提供する、ように構成される。 The key server obtains the key from the developer over a secure channel, stores the key, and finally provides the key to the vehicle-mounted controller when the vehicle-mounted upgrade package is encrypted by the developer. It is configured as follows.
車両搭載制御装置および複数のアップグレード対象車両搭載機器の具体的な機能などの他の態様については、図1に対応する車両搭載システムアップグレードアーキテクチャ内の機能エンティティまたはユニットに関する説明を参照することが理解できよう。ここでは詳細を繰り返さない。 For other aspects, such as the specific functionality of the vehicle-mounted controller and multiple upgradeable vehicle-mounted equipment, it is understandable to refer to the description of functional entities or units in the vehicle-mounted system upgrade architecture corresponding to Figure 1. Yeah. The details are not repeated here.
本出願の車両搭載システムアップグレードアーキテクチャは開発者をさらに含み得ることがさらに理解できよう。アップグレードプログラム（ファームウェア／ソフトウェア）の開発および試験の後、開発者は車両搭載アップグレードパッケージをアップグレードサーバに配布する。配布された車両搭載アップグレードパッケージはデジタル署名を使用して署名される必要がある。任意選択で、デジタル署名を使用して署名される前に、車両搭載アップグレードパッケージはさらに暗号化されてもよい。車両搭載アップグレードパッケージが暗号化されない場合、アーキテクチャは図1のシステムアーキテクチャであり、車両搭載アップグレードパッケージが暗号化される場合、アーキテクチャは図2のシステムアーキテクチャである。対応する実施形態を以下の説明で詳述する。 It will be further understood that the vehicle-mounted system upgrade architecture of this application may include more developers. After developing and testing the upgrade program (firmware / software), the developer distributes the vehicle-mounted upgrade package to the upgrade server. The distributed vehicle-mounted upgrade package must be signed using a digital signature. Optionally, the vehicle-mounted upgrade package may be further encrypted before being signed using a digital signature. If the vehicle-mounted upgrade package is not encrypted, the architecture is the system architecture in Figure 1, and if the vehicle-mounted upgrade package is encrypted, the architecture is the system architecture in Figure 2. Corresponding embodiments will be described in detail below.
図1および図2の車両搭載システムアップグレードアーキテクチャは、本発明の実施形態の実施態様の2つの例にすぎないことに留意されたい。本発明の実施形態の通信システムアーキテクチャは、前述のシステムアーキテクチャを含むがこれに限定されない。 It should be noted that the vehicle-mounted system upgrade architectures of FIGS. 1 and 2 are only two examples of embodiments of the embodiments of the present invention. The communication system architecture of the embodiment of the present invention includes, but is not limited to, the system architecture described above.
以下で、本出願で提供される車両搭載機器アップグレード方法の実施形態を使用して、本出願で示される技術的問題を具体的に分析および解決する。 In the following, the technical problems presented in this application will be specifically analyzed and resolved using embodiments of the vehicle-mounted equipment upgrade method provided in this application.
図5は、本発明の一実施形態による車両搭載機器アップグレード方法の概略的流れ図である。本方法は、図1または図4の車両搭載システムアップグレードアーキテクチャに適用され得る。図5を参照して、以下で、車両搭載制御装置とターゲットアップグレード対象車両搭載機器との間のインタラクションの観点から本方法を説明する。本方法は、ステップS501からステップS505を含み得る。 FIG. 5 is a schematic flow chart of a vehicle-mounted device upgrade method according to an embodiment of the present invention. The method may be applied to the vehicle-mounted system upgrade architecture of Figure 1 or Figure 4. With reference to FIG. 5, this method will be described below from the viewpoint of interaction between the vehicle-mounted control device and the target-mounted vehicle-mounted device. The method may include steps S501 through S505.
ステップS501．車両搭載制御装置が車両搭載アップグレードパッケージを取得する。 Step S501. Vehicle-mounted controller acquires vehicle-mounted upgrade package.
ステップS502．車両搭載制御装置が複数のアップグレードファイルに対してセキュリティ検証を行う。 Step S502. The vehicle-mounted controller performs security verification on multiple upgrade files.
ステップS503．車両搭載制御装置が、ターゲットアップグレードファイルを使用してアップグレードされるべきターゲットアップグレード対象車両搭載機器にターゲットアップグレードファイルを送信し、ターゲットアップグレードファイルが、複数のアップグレードファイル内のそのセキュリティ検証が成功したアップグレードファイルである。 Step S503. The vehicle-mounted controller sends a target upgrade file to the target vehicle-mounted equipment that should be upgraded using the target upgrade file, and the target upgrade file is an upgrade file whose security verification is successful in multiple upgrade files. Is.
ステップS504．ターゲットアップグレード対象車両搭載機器が、車両搭載制御装置によって送信されたターゲットアップグレードファイルを受信し、ターゲットアップグレードファイルが、車両搭載制御装置によって行われたそのセキュリティ検証が成功した、アップグレード対象車両搭載機器をアップグレードするために使用されるアップグレードファイルである。 Step S504. The target vehicle-mounted device receives the target upgrade file sent by the vehicle-mounted controller, and the target upgrade file upgrades the upgraded vehicle-mounted device for which the security verification performed by the vehicle-mounted controller was successful. The upgrade file used to do this.
ステップS505．ターゲットアップグレード対象車両搭載機器が、ターゲットアップグレードファイルを使用してセキュアなアップグレードを行う。 Step S505. Target upgrade target vehicle-mounted equipment uses the target upgrade file to perform a secure upgrade.
具体的には、車両搭載アップグレードパッケージは複数のアップグレードファイルを含み、各アップグレードファイルは少なくとも1つのアップグレード対象車両搭載機器をアップグレードするために使用される。言い換えると、車両搭載システム内の1つのアップグレード対象車両搭載機器は1つまたは複数のアップグレードファイルに対応し得る。 Specifically, the vehicle-mounted upgrade package contains multiple upgrade files, each upgrade file used to upgrade at least one vehicle-mounted equipment to be upgraded. In other words, one vehicle-mounted device to be upgraded in the vehicle-mounted system may support one or more upgrade files.
車両搭載制御装置がステップS501を行う前に、車両搭載アップグレードパッケージがリリースされる。一般に、アップグレードプログラムの開発および試験の後、車両搭載アップグレードパッケージ（ファームウェア／ソフトウェア）の開発者は、車両搭載アップグレードパッケージをアップグレードサーバに配布する。1つの可能な実施態様では、車両搭載アップグレードパッケージは第1のデジタル署名を含む。車両搭載アップグレードパッケージがMであり、バージョン情報がverである（例えば、プログラム名、新バージョン番号、および旧バージョン番号などのすべてのメタデータ（meta−data）情報）であると仮定する。本発明の本実施形態では、図6に示されるように、車両搭載アップグレードパッケージのリリース時に、開発者がアップグレードパッケージにデジタル署名するか、またはアップグレードサーバがアップグレードパッケージにデジタル署名する、という2つのデジタル署名方法が提供され得る。図6は、本発明の一実施形態による2つのタイプのデジタル署名の概略図である。ケース1およびケース2が含まれる。 The vehicle-mounted upgrade package is released before the vehicle-mounted controller performs step S501. Generally, after the development and testing of an upgrade program, the developer of the vehicle-mounted upgrade package (firmware / software) distributes the vehicle-mounted upgrade package to the upgrade server. In one possible embodiment, the vehicle-mounted upgrade package includes a first digital signature. Assume that the vehicle-mounted upgrade package is M and the version information is ver (eg, all metadata information such as program name, new version number, and old version number). In the present embodiment of the present invention, as shown in FIG. 6, when the vehicle-mounted upgrade package is released, the developer digitally signs the upgrade package or the upgrade server digitally signs the upgrade package. A signing method may be provided. FIG. 6 is a schematic representation of two types of digital signatures according to an embodiment of the present invention. Cases 1 and 2 are included.
ケース1：σ＝SignD（M｜｜ver）は、開発者がM｜｜verにデジタル署名することを示し、本出願の第1のデジタル署名の役割を果たす。 Case 1: σ = Sign D (M || ver) indicates that the developer digitally signs M || ver and serves as the first digital signature of the present application.
ケース2：σ＝SignS（M｜｜ver）は、アップグレードサーバがM｜｜verにデジタル署名することを示し、本出願の第1のデジタル署名の役割を果たす。 Case 2: σ = Sign S (M || ver) indicates that the upgrade server digitally signs M || ver and serves as the first digital signature of the present application.
前述の2つの署名方法で使用されるデジタル署名アルゴリズムは本出願では特に限定されない。任意選択で、情報を転送するために開発者とアップグレードサーバとの間にセキュアなチャネルが確立されてもよく、セキュアなチャネルはネットワークチャネルであり得るか、または書留郵便などの物理チャネルであり得る。結論として、車両搭載アップグレードパッケージがリリースされるときに、アップグレードサーバは、車両搭載アップグレードパッケージ［M，ver，σ］を更新し、更新されたかまたは新しい車両搭載アップグレードパッケージに関する情報を対外的にリリースする。 The digital signature algorithm used in the above two signature methods is not particularly limited in this application. Optionally, a secure channel may be established between the developer and the upgrade server to transfer information, and the secure channel can be a network channel or a physical channel such as registered mail. .. In conclusion, when the vehicle-mounted upgrade package is released, the upgrade server updates the vehicle-mounted upgrade package [M, ver, σ] and releases information about the updated or new vehicle-mounted upgrade package to the outside world. ..
本出願は、2つの車両搭載システムアップグレードアーキテクチャ、すなわち、図1に示される鍵サーバなしのアーキテクチャ1と、図4に示される鍵サーバを含むアーキテクチャ2とを提供する。 The present application provides two vehicle-mounted system upgrade architectures, namely Architecture 1 without a key server shown in FIG. 1 and Architecture 2 with a key server shown in FIG.
アーキテクチャ1では、車両搭載アップグレードパッケージは暗号化されない。アップグレードサーバは、車両搭載制御装置の識別情報に対して認証を行い、認証の成功後に車両搭載制御装置へのセキュアなチャネルを確立し、セキュアなチャネルを介して車両搭載アップグレードパッケージを取得する必要がある。このプロセスは、車両搭載制御装置内のOTA OrchestratorがTelematicsユニットを使用してアップグレードサーバからアップグレードパッケージを取得するプロセスである。 In Architecture 1, vehicle-mounted upgrade packages are not encrypted. The upgrade server must authenticate to the vehicle-mounted controller's identity, establish a secure channel to the vehicle-mounted controller after successful authentication, and obtain the vehicle-mounted upgrade package through the secure channel. is there. This process is the process by which the OTA Orchestrator in the vehicle-mounted controller uses the Telematics unit to obtain the upgrade package from the upgrade server.
具体的には、車両搭載制御装置はアップグレードサーバに識別認証情報を送信する。識別認証情報がアップグレードサーバによって認証された場合、車両搭載制御装置とアップグレードサーバとの間にセキュアなチャネルが確立され、車両搭載制御装置は、セキュアなチャネルを介してアップグレードサーバから、アップグレードに必要な車両搭載アップグレードパッケージを取得する。 Specifically, the vehicle-mounted control device transmits the identification authentication information to the upgrade server. If the identity credentials are authenticated by the upgrade server, a secure channel is established between the vehicle-mounted controller and the upgrade server, and the vehicle-mounted controller is required to upgrade from the upgrade server over the secure channel. Get a vehicle-mounted upgrade package.
1つの具体的な実施態様では、OTA Orchestratorがアップグレードサーバに問い合わせるか、またはアップグレードサーバがOTA Orchestratorに更新メッセージをプッシュする。アップグレードパッケージは具体的には、以下のステップで取得され得る。 In one specific embodiment, the OTA Orchestrator queries the upgrade server or the upgrade server pushes an update message to the OTA Orchestrator. Specifically, the upgrade package can be obtained in the following steps.
1．OTAオーケストレータOTA Orchestratorがターゲットアップグレード対象車両搭載機器の現行バージョン情報を取得する。この情報は、ターゲットアップグレード対象車両搭載機器に問い合わせることによって、またはOTAオーケストレータによって維持されるデータベースに問い合わせることによって取得され得る（OTA Orchestratorはすべての車両搭載機器のファームウェア／ソフトウェアの基本情報を維持していると仮定する）。 1. 1. OTA Orchestrator OTA Orchestrator acquires the current version information of the equipment installed in the target upgrade target vehicle. This information can be obtained by querying the target vehicle-mounted equipment or by querying the database maintained by the OTA Orchestrator (OTA Orchestrator maintains basic firmware / software information for all vehicle-mounted equipment. (Assuming that).
2．OTA Orchestratorがアップグレードが必要かどうかを判断する。アップグレードが必要な場合、OTA Orchestratorはアップグレードを行うかどうかを車両所有者に確認することを選択し得る。車両所有者が同意した場合、アップグレードが開始する。 2. OTA Orchestrator decides if an upgrade is needed. If an upgrade is required, OTA Orchestrator may choose to ask the vehicle owner if it will be upgraded. If the vehicle owner agrees, the upgrade will begin.
3．OTA Orchestratorがアップグレードサーバに対する認証を開始し、アップグレードサーバへのセキュアなチャネルを確立し、セキュアなチャネルを介してデータパケットを送信する。 3. 3. OTA Orchestrator initiates authentication to the upgrade server, establishes a secure channel to the upgrade server, and sends data packets over the secure channel.
4．OTA Orchestratorがアップグレードサーバに車両搭載機器の現行バージョン情報を報告し、アップグレードサーバが同意した場合、OTA Orchestratorがアップグレードパッケージ［M，ver，σ，｛M’｝］をダウンロードする。Mは、車両搭載アップグレードパッケージであり、verは、プログラム名、新バージョン番号、および対応する旧バージョン番号などのすべてのメタデータ（meta−data）情報を含む、バージョン情報を表し、σ＝SignD（M｜｜ver）またはσ＝SignS（M｜｜ver）は、第1のデジタル署名であり、M’は、ロールバックファイルを表し、｛M’｝は、M’が任意選択であり、ターゲットアップグレード対象車両搭載機器が能力の弱い機器であるときにのみ有効であることを示す。 Four. OTA Orchestrator reports the current version information of the vehicle-mounted equipment to the upgrade server, and if the upgrade server agrees, OTA Orchestrator downloads the upgrade package [M, ver, σ, {M'}]. M is a vehicle-mounted upgrade package, ver is version information, including all metadata information such as program name, new version number, and corresponding old version number, σ = Sign D (M || ver) or σ = Sign S (M || ver) is the first digital signature, M'represents the rollback file, and {M'} is optional for M'. , Indicates that the target vehicle-mounted device is valid only when it has a weak capacity.
5．OTA Orchestratorは、第1のデジタル署名σの信憑性に対する検証を行い、検証が失敗した場合、OTA Orchestratorはアップグレードを断念する。任意選択で、必要な場合、OTA Orchestratorは、M’に対する検証も行う。M’もまたデジタル署名を搬送すると仮定する。 Five. OTA Orchestrator verifies the authenticity of the first digital signature σ, and if the verification fails, OTA Orchestrator gives up the upgrade. Optional, and if necessary, OTA Orchestrator also validates against M'. It is assumed that M'also carries a digital signature.
アーキテクチャ2では、車両搭載アップグレードパッケージはアップグレードサーバで暗号化される。したがって、車両搭載制御装置とアップグレードサーバとの間に専用のセキュアなチャネルが確立されなくてもよい。加えて、車両搭載制御装置が第1の署名を使用して車両搭載アップグレードパッケージに対する検証を行った後、車両搭載アップグレードパッケージは第1の鍵を使用して解読される必要がさらにある。本実施形態では、アップグレードファイルは開発者によって暗号化される。開発者がアップグレードファイルを暗号化することのさらなる利点は、開発者がアップグレードサーバの信頼性を考慮しなくてもよいことである。したがって、アップグレードファイルの機密性がさらに保護される。 In Architecture 2, vehicle-mounted upgrade packages are encrypted on the upgrade server. Therefore, it is not necessary to establish a dedicated secure channel between the vehicle-mounted controller and the upgrade server. In addition, after the vehicle-mounted controller validates the vehicle-mounted upgrade package using the first signature, the vehicle-mounted upgrade package still needs to be decrypted using the first key. In this embodiment, the upgrade file is encrypted by the developer. A further advantage of the developer encrypting the upgrade file is that the developer does not have to consider the reliability of the upgrade server. Therefore, the confidentiality of the upgrade file is further protected.
具体的には、車両搭載アップグレードパッケージは第1の鍵を使用して暗号化される。第1の鍵は対称鍵である。車両搭載制御装置は第1の鍵を鍵サーバから取得する。車両搭載制御装置が、第1のデジタル署名を使用して複数のアップグレードファイルに対してデジタル署名検証を行った後、デジタル署名検証が成功した場合、車両搭載制御装置は、第1の鍵を使用して複数のアップグレードファイルを解読する。 Specifically, the vehicle-mounted upgrade package is encrypted using the first key. The first key is a symmetric key. The vehicle-mounted controller obtains the first key from the key server. If the digital signature verification is successful after the vehicle-mounted controller performs digital signature verification on multiple upgrade files using the first digital signature, the vehicle-mounted controller uses the first key. To decrypt multiple upgrade files.
アップグレードプログラムの開発および試験の後、車両搭載アップグレードパッケージ（ファームウェア／ソフトウェア）の開発者はアップグレードサーバにアップグレードファイルを配布する。このプロセスは図4に示されるアーキテクチャに対応している。アーキテクチャ1と異なり、このアーキテクチャは追加の鍵サーバを必要とする。 After developing and testing the upgrade program, the developer of the vehicle-mounted upgrade package (firmware / software) distributes the upgrade file to the upgrade server. This process corresponds to the architecture shown in Figure 4. Unlike architecture 1, this architecture requires an additional key server.
アップグレードファイルはMであり、verは、プログラム名、新バージョン番号、および対応する旧バージョン番号などのすべてのメタデータ（meta−data）情報を含む、バージョン情報を表すと仮定する。開発者は、任意の鍵K（第1の鍵）を選択し、Kを使用してMを暗号化するので、C＝E（K，M）が得られる。式中、E（K，．）は、Kに基づく暗号化、例えば、グループ暗号化を表す。 Assume that the upgrade file is M and ver represents version information, including all metadata (meta-data) information such as program name, new version number, and corresponding old version number. The developer chooses any key K (first key) and uses K to encrypt M, resulting in C = E (K, M). In the equation, E (K ,.) represents K-based encryption, for example group encryption.
上述のように、第1のデジタル署名では、2つのシナリオ、すなわち、開発者がアップグレードパッケージにデジタル署名するか、またはアップグレードサーバがアップグレードパッケージにデジタル署名する、がある。どちらの場合にも、開発者は、暗号化されたアップグレードファイルの鍵Kを、セキュアなチャネルを介して鍵サーバに送信する必要があり、暗号化されたアップグレードファイルを伝送するためのチャネルは保護を必要としない。開発者と鍵サーバとの間の秘密のチャネルは、多くの方法を使用して、例えばTLSを使用して確立され得る。これについては本出願では特に限定されない。 As mentioned above, the first digital signature has two scenarios: the developer digitally signs the upgrade package, or the upgrade server digitally signs the upgrade package. In both cases, the developer must send the encrypted upgrade file key K to the key server over a secure channel, protecting the channel for transmitting the encrypted upgrade file. Does not need. A secret channel between the developer and the key server can be established using many methods, for example using TLS. This is not particularly limited in this application.
1つの具体的な実施態様では、このプロセスは、OTA Orchestratorがアップグレードサーバからアップグレードパッケージを取得し、鍵サーバから、アップグレードソフトウェアを解読するための鍵を取得するプロセスである。具体的には、車両搭載機器のための新しいアップグレードパッケージがあることを知った後、OTA Orchestratorがこのプロセスを開始する。OTA Orchestratorがアップグレードサーバに問い合わせることによってメッセージを知り得るか、またはアップグレードサーバがOTA Orchestratorに情報をプッシュする。アップグレードパッケージは以下のステップで取得され得る。 In one specific embodiment, this process is the process by which the OTA Orchestrator obtains the upgrade package from the upgrade server and the key from the key server to decrypt the upgrade software. Specifically, OTA Orchestrator begins this process after learning that there is a new upgrade package for vehicle-mounted equipment. The OTA Orchestrator can get the message by contacting the upgrade server, or the upgrade server pushes the information to the OTA Orchestrator. The upgrade package can be obtained by following the steps below.
1．OTA Orchestratorがターゲットアップグレード対象車両搭載機器の現行バージョン情報を取得する。この情報は、ターゲットアップグレード対象車両搭載機器に問い合わせることによって、またはOTAオーケストレータによって維持されるデータベースに問い合わせることによって取得され得る（OTA Orchestratorはすべての車両搭載機器のファームウェア／ソフトウェアの基本情報を維持していると仮定する）。 1. 1. OTA Orchestrator acquires the current version information of the equipment installed in the target upgrade target vehicle. This information can be obtained by querying the target vehicle-mounted equipment or by querying the database maintained by the OTA Orchestrator (OTA Orchestrator maintains basic firmware / software information for all vehicle-mounted equipment. (Assuming that).
2．OTA Orchestratorがアップグレードが必要かどうかを判断する。アップグレードが必要な場合、OTA Orchestratorはアップグレードを行うかどうかを車両所有者に確認することを選択し得る。車両所有者が同意した場合、アップグレードが開始する。 2. OTA Orchestrator decides if an upgrade is needed. If an upgrade is required, OTA Orchestrator may choose to ask the vehicle owner if it will be upgraded. If the vehicle owner agrees, the upgrade will begin.
3．OTA Orchestratorがアップグレードサーバからアップグレードパッケージ［C，ver，σ，｛C’｝］をダウンロードする。C’は、デジタル署名を使用して署名された、アップグレードが失敗したときにロールバックに使用されるべき暗号化ファイルを表し、｛C’｝は、C’が任意選択であり、ターゲットアップグレード対象車両搭載機器が能力の弱い機器であるときにのみ有効であることを示すことに留意されたい。 3. 3. OTA Orchestrator downloads the upgrade package [C, ver, σ, {C'}] from the upgrade server. C'represents an encrypted file signed using a digital signature that should be used for rollback if the upgrade fails, and {C'} is the target upgrade target, where C'is optional. Note that it shows that it is only valid when the vehicle-mounted equipment is a weak equipment.
4．OTA Orchestratorは、σの信憑性に対する検証を行い（すなわち、第1のデジタル署名の信憑性に対する検証を行い）、検証が失敗した場合、OTA Orchestratorはアップグレードを断念する。必要な場合、OTA Orchestratorは、C’に対する検証も行う。 Four. OTA Orchestrator verifies the authenticity of σ (ie, verifies the authenticity of the first digital signature), and if the verification fails, OTA Orchestrator gives up the upgrade. If necessary, OTA Orchestrator will also verify C'.
5．OTA Orchestratorが鍵サーバに対する認証を開始し、鍵サーバへのセキュアなチャネルを確立し、セキュアなチャネルを介してアップグレードパッケージの解読鍵K（すなわち、第1の鍵）を取得する。必要な場合、OTA Orchestratorは、C’を解読するための解読鍵を取得する必要もある。 Five. OTA Orchestrator initiates authentication to the key server, establishes a secure channel to the key server, and obtains the upgrade package decryption key K (ie, the first key) over the secure channel. If necessary, OTA Orchestrator also needs to obtain a decryption key to decrypt C'.
6．OTA Orchestratorが、アップグレードファイルMを取得するためにKを使用してCを解読し、必要な場合、OTA Orchestratorは、M’（M’は、アップグレードが失敗したときのロールバックに使用される）を取得するためにC’を解読する必要もある。 6. OTA Orchestrator decrypts C using K to get the upgrade file M, and if necessary, OTA Orchestrator M'(M'is used for rollback when the upgrade fails) You also need to decipher C'to get.
1つの可能な実施態様では、アップグレードファイルの機密性も保護される必要がある場合、アップグレードパッケージを取得した後、OTA Orchestratorは、Cを解読せず、Cをn個の部分：C1，C2，．．．，およびCnに分割し、次いで、C1，C2，．．．，およびCnを、Hash Chain、Hash Tree、およびBloom Filterに基づくものである後続の処理方法で使用する。OTA Orchestratorは、秘密のチャネルを介してターゲットアップグレード対象車両搭載機器に共有鍵Kを転送する必要もあるので、ターゲットアップグレード対象車両搭載機器は解読を行う。 In one possible embodiment, if the confidentiality of the upgrade file also needs to be protected, after obtaining the upgrade package, OTA Orchestrator does not decrypt C and n parts of C: C 1 , C. 2 ,. .. .. , And C n , then C 1 , C 2 , ... .. .. , And C n are used in subsequent processing methods that are based on the Hash Chain, Hash Tree, and Bloom Filter. The OTA Orchestrator also needs to transfer the shared key K to the target vehicle-mounted device via a secret channel, so the target upgrade target vehicle-mounted device decrypts it.
ステップS502で、車両搭載制御装置は、アップグレードサーバから取得された車両搭載アップグレードパッケージ内の複数のアップグレードファイルに対してセキュリティ検証を行う必要がある。1つの可能な実施態様では、車両搭載アップグレードパッケージは第1のデジタル署名を含み、車両搭載制御装置のOTA Orchestratorは、第1のデジタル署名を使用して複数のアップグレードファイルに対してデジタル署名検証を行う。具体的には、車両搭載制御装置が車両搭載アップグレードパッケージを取得した後、アップグレードパッケージがアップグレードのために対応するアップグレード対象車両搭載機器に直接送信される先行技術とは異なり、セキュリティ検証（例えば、信憑性検証）が車両搭載制御装置側で車両搭載アップグレードパッケージ内の複数のアップグレードファイルに対してまず行われ、そのセキュリティ検証が成功したアップグレードファイルが次いでコード変換（transcoding）を受け、コード変換されたアップグレードファイルがセキュアなアップグレードのために対応するアップグレード対象車両搭載機器に送信される。本出願のコード変換は、分割によって取得された複数のアップグレードサブファイルの各々に対して、アルゴリズム（Hash Chainアルゴリズム、Hash Treeアルゴリズム、またはBloom Filterアルゴリズム）を使用して、ハッシュ関連付け処理が行われ、車両内ネットワークに適用可能なセキュアなデータパッケージセグメント伝送をさらに実施するために、MAC処理が、ハッシュチェーン、ハッシュツリー、またはブルームフィルタ内の1つまたは複数のノードで行われることを意味することに留意されたい。このようにして、アップグレード対象車両搭載機器によって行われる必要がある大量のセキュリティ検証操作が減少する。言い換えると、単一のアップグレード対象車両搭載機器によって行われるセキュリティ検証中の計算作業負荷、計算の複雑さなどが減少する。 In step S502, the vehicle-mounted controller needs to perform security verification on multiple upgrade files in the vehicle-mounted upgrade package obtained from the upgrade server. In one possible embodiment, the vehicle-mounted upgrade package contains a first digital signature, and the vehicle-mounted controller OTA Orchestrator uses the first digital signature to perform digital signature verification for multiple upgrade files. Do. Specifically, security verification (eg, credibility), unlike prior technology, in which the vehicle-mounted controller acquires the vehicle-mounted upgrade package and then the upgrade package is sent directly to the corresponding upgraded vehicle-mounted equipment for the upgrade. Sex verification) is first performed on the vehicle-mounted controller for multiple upgrade files in the vehicle-mounted upgrade package, and the upgrade files that have been successfully verified for security are then transcoded and code-translated. The file is sent to the corresponding upgraded vehicle-mounted device for a secure upgrade. The code conversion of the present application uses an algorithm (Hash Chain algorithm, Hash Tree algorithm, or Bloom Filter algorithm) to perform hash association processing for each of the plurality of upgrade subfiles obtained by division. To imply that MAC processing is done on one or more nodes in a hash chain, hash tree, or Bloom filter to further implement secure data package segment transmission applicable to the in-vehicle network. Please note. In this way, the large number of security verification operations that need to be performed by the vehicle-mounted equipment to be upgraded are reduced. In other words, it reduces the computational workload, computational complexity, etc. during security verification performed by a single upgrade target vehicle-mounted device.
ステップS503では、異なるアップグレード対象車両搭載機器が、車両搭載アップグレードパッケージ内の一部のアップグレードファイルのみに対応し得る。したがって、車両搭載制御装置は、複数のアップグレードファイル内のそのセキュリティ検証が成功したターゲットアップグレードファイルを、ターゲットアップグレードファイルを使用してアップグレードされるべきターゲットアップグレード対象車両搭載機器に送信する必要がある。ターゲットアップグレードファイル内のアップグレードサブファイルのサイズおよびコンテンツは異なり得ることが理解できよう。 In step S503, different vehicle-mounted equipment to be upgraded may only support some upgrade files in the vehicle-mounted upgrade package. Therefore, the vehicle-mounted controller needs to send the successfully verified target upgrade file in the multiple upgrade files to the target upgrade target vehicle-mounted device to be upgraded using the target upgrade file. It can be seen that the size and content of the upgrade subfiles in the target upgrade file can vary.
1つの可能な実施態様では、車両搭載制御装置は、ターゲットアップグレードファイルを複数のアップグレードサブファイル（複数のセグメントとしても理解され得る）に分割し、事前設定アルゴリズムを使用して複数のアップグレードサブファイルから複数の相互関連データブロックを生成し、第2の鍵を使用して複数のデータブロックの第1のメッセージ認証コードMACを生成し、ターゲットアップグレード対象車両搭載機器に、第1のMACを搬送する複数のデータブロックを順次に送信する。第2の鍵は対称アルゴリズム鍵である。 In one possible embodiment, the vehicle-mounted controller splits the target upgrade file into multiple upgrade subfiles (which may also be understood as multiple segments) and uses a preset algorithm from multiple upgrade subfiles. Multiple interrelated data blocks are generated, the second key is used to generate the first message authentication code MAC for the multiple data blocks, and the first MAC is carried to the target vehicle-mounted device. Data blocks of are transmitted in sequence. The second key is the symmetric algorithm key.
具体的には、車両搭載機器間での車両搭載アップグレードパッケージの伝送中に、車両搭載制御装置は、事前設定アルゴリズムを使用して、アップグレードファイルを複数の関連データブロックに分割し、関連データブロックに対してMAC処理を行うので、車両搭載制御装置は完全なアップグレードファイルを、別々に伝送することができ、それに対する妥当性検証を別々に行うことができる複数のデータブロックに分割する。加えて、複数のデータブロックが関連付けられているので、セキュリティ問題のあるデータブロックを、関連したアルゴリズムを使用して迅速に特定することもできる。事前設定アルゴリズムは、Hash Chainアルゴリズム、Hash Treeアルゴリズム、およびBloom Filterアルゴリズムのいずれか1つを含む。本出願では、車両搭載制御装置は、ターゲットアップグレードファイルをアップグレード対象車両搭載機器に一度に送信することを回避するために、ターゲットアップグレードファイルを複数のアップグレードサブファイルに分割するので、アップグレード対象車両搭載機器はアップグレードサブファイルを別々に受信および処理することができる。したがって、本出願の「順次に」は、「次々に」を含み得るか、または「別の複数のアップグレードサブファイルの後の複数のアップグレードサブファイル」、例えば、2つのアップグレードサブファイルをまず送信し、次いで別の2つのアップグレードサブファイルを送信するなどであることを指示し得るか、または1つのアップグレードサブファイルをまず送信し、次いで別の2つのアップグレードサブファイルを送信するなどであることを指示し得る。すなわち、車両搭載制御装置は、ターゲットアップグレードファイルを複数のアップグレードサブファイルに分割し、それらのアップグレードサブファイルをアップグレード対象車両搭載機器にバッチで送信しさえすればよい。ターゲットアップグレードファイルを分割し、アップグレードサブファイルをアップグレード対象車両搭載機器に順次に送信する具体的な方法は、本出願では特に限定されない。本出願では、車両搭載機器の能力が弱く、記憶リソースが不十分であり、車両内ネットワークの帯域幅が限られているという問題を解決するために、配置されるOTA Orchestratorは、車両搭載アップグレードパッケージをコ
ード変換（transcoding）することができる。OTA Orchestratorのコード変換機能により、車両搭載機器は公開鍵暗号操作を行う必要がなく、それによって車両搭載機器の作業負荷が低減する。したがって、能力が比較的弱いアップグレード対象車両搭載機器の単位時間あたりの計算作業負荷および計算の複雑さが減少する。加えて、アップグレードファイル伝送誤りが発生した後、誤り部分を可能な限り迅速に見つけることができるので、アップグレードファイル全体ではなく誤り部分のみが再送を要求される。このようにして、車両搭載機器のセキュアで効率的なアップグレードがさらに保証される。
Specifically, during the transmission of the vehicle-mounted upgrade package between vehicle-mounted equipment, the vehicle-mounted controller uses a preset algorithm to divide the upgrade file into multiple related data blocks into related data blocks. On the other hand, the MAC processing is performed, so that the vehicle-mounted controller divides the complete upgrade file into a plurality of data blocks that can be transmitted separately and validated separately. In addition, since multiple data blocks are associated, a data block with a security problem can be quickly identified using a related algorithm. The preset algorithms include one of the Hash Chain algorithm, the Hash Tree algorithm, and the Bloom Filter algorithm. In this application, the vehicle-mounted controller divides the target upgrade file into multiple upgrade subfiles in order to avoid sending the target upgrade file to the vehicle-mounted equipment to be upgraded at once. Can receive and process upgrade subfiles separately. Therefore, "sequentially" in this application may include "sequentially" or "multiple upgrade subfiles after another plurality of upgrade subfiles", eg, two upgrade subfiles first transmitted. , Then can be instructed to send two other upgrade subfiles, etc., or one upgrade subfile first, then two other upgrade subfiles, etc. Can be done. That is, the vehicle-mounted controller only needs to divide the target upgrade file into a plurality of upgrade subfiles and send the upgrade subfiles to the vehicle-mounted equipment to be upgraded in batch. The specific method of dividing the target upgrade file and sequentially transmitting the upgrade subfile to the equipment mounted on the vehicle to be upgraded is not particularly limited in this application. In this application, the OTA Orchestrator deployed to solve the problems of weak vehicle-mounted equipment, insufficient storage resources, and limited in-vehicle network bandwidth is a vehicle-mounted upgrade package. Can be transcoded. OTA Orchestrator's code conversion function eliminates the need for vehicle-mounted equipment to perform public key cryptography, which reduces the workload of vehicle-mounted equipment. Therefore, the computational workload and computational complexity per unit time of the upgraded vehicle-mounted equipment with relatively weak capacity is reduced. In addition, after an upgrade file transmission error occurs, the error can be found as quickly as possible, so only the error is required to be retransmitted, not the entire upgrade file. In this way, secure and efficient upgrades of vehicle-mounted equipment are further guaranteed.
1つの可能な実施態様では、車両搭載制御装置は、ターゲットアップグレードファイルを複数のアップグレードサブファイルに分割し、複数のアップグレードサブファイルを（機密性を保証するために）暗号化し（信憑性を保証するために）コード変換し、暗号化されコード変換されたアップグレードサブファイルをターゲットアップグレード対象車両搭載機器に順次に送信する。具体的には、車両搭載制御装置は、第3の鍵を使用して複数のアップグレードサブファイルの各々を暗号化し、事前設定アルゴリズムを使用して、第3の鍵を使用して暗号化された複数のアップグレードサブファイルから複数の相互関連データブロックを生成し、ターゲットアップグレード対象車両搭載機器に、第1のMACを搬送する複数のデータブロックを順次に送信する。言い換えると、本発明の本実施形態は、車両搭載制御装置が、複数のアップグレードサブファイルの機密性を保証するために、コード変換の前に複数のアップグレードサブファイルを暗号化する必要があり、次いで暗号化されたアップグレードサブファイルをコード変換するという点で本発明の前述の実施形態と異なる。 In one possible embodiment, the vehicle-mounted controller splits the target upgrade file into multiple upgrade subfiles and encrypts the multiple upgrade subfiles (to ensure confidentiality) (guarantees authenticity). (For) code-converted, encrypted and code-converted upgrade subfiles are sent sequentially to the target vehicle-mounted equipment. Specifically, the vehicle-mounted controller encrypted each of the multiple upgrade subfiles using a third key and encrypted using a third key using a preset algorithm. Multiple interrelated data blocks are generated from multiple upgrade subfiles, and multiple data blocks carrying the first MAC are sequentially transmitted to the target vehicle-mounted device to be upgraded. In other words, in the present embodiment of the present invention, the vehicle-mounted control unit needs to encrypt the plurality of upgrade subfiles before the code conversion in order to guarantee the confidentiality of the plurality of upgrade subfiles, and then the plurality of upgrade subfiles must be encrypted. It differs from the above-described embodiment of the present invention in that the encrypted upgrade subfile is code-converted.
1つの可能な実施態様では、ターゲットアップグレードファイルは複数のアップグレードサブファイルを含み、事前設定アルゴリズムを使用して複数のアップグレードサブファイルから複数の相互関連データブロックが生成され、複数のアップグレードサブファイルは、第4の鍵を使用して生成された複数のデータブロックの第2のデジタル署名を搬送し、第4の鍵は非対称鍵であり、車両搭載制御装置は、複数のデータブロックの第2のデジタル署名を検査し、車両搭載制御装置は、第5の鍵を使用して複数のデータブロックの第2のMACを生成し、第5の鍵は対称アルゴリズム鍵であり、車両搭載制御装置は、ターゲットアップグレード対象車両搭載機器に、第2のMACを搬送する複数のデータブロックを順次に送信する。言い換えると、車両搭載アップグレードパッケージのブロック伝送および署名がアップグレード開発者側で実施され得る。すなわち、車両搭載制御装置によって取得される前に、事前設定アルゴリズムを使用した分割によってデータブロックが取得され、署名される。この場合、車両搭載機器は、データブロックの妥当性をまず検査する必要があり、次いで妥当と検査されたデータブロックに対してMAC処理を行う。MAC検査での計算作業負荷および計算の複雑さは、署名の場合のものよりはるかに小さい。したがって、車両内伝送プロセスでの車両搭載アップグレードファイルの妥当性が保証されると同時に、アップグレード対象車両搭載機器の計算作業負荷および計算の複雑さが減少し得る。したがって、車両搭載機器はセキュアかつ効率的にアップグレードされる。 In one possible embodiment, the target upgrade file contains multiple upgrade subfiles, multiple upgrade subfiles are used to generate multiple interrelated data blocks from multiple upgrade subfiles, and multiple upgrade subfiles Carrying the second digital signature of multiple data blocks generated using the fourth key, the fourth key is an asymmetric key, and the vehicle-mounted controller is the second digital of multiple data blocks. Checking the signature, the vehicle-mounted controller uses a fifth key to generate a second MAC for multiple data blocks, the fifth key is a symmetric algorithm key, and the vehicle-mounted controller is the target. A plurality of data blocks carrying the second MAC are sequentially transmitted to the equipment mounted on the vehicle to be upgraded. In other words, block transmission and signing of vehicle-mounted upgrade packages can be performed by the upgrade developer. That is, the data block is acquired and signed by partitioning using a preset algorithm before it is acquired by the vehicle-mounted controller. In this case, the vehicle-mounted device must first check the validity of the data block, and then perform MAC processing on the checked data block. The computational workload and computational complexity of MAC inspection is much less than that of signatures. Therefore, the validity of the vehicle-mounted upgrade file in the in-vehicle transmission process can be guaranteed, and at the same time, the computational workload and computational complexity of the vehicle-mounted equipment to be upgraded can be reduced. Therefore, vehicle-mounted equipment is upgraded securely and efficiently.
ステップS504では、ターゲットアップグレード対象車両搭載機器は、車両搭載制御装置によって送信されたターゲットアップグレードファイルを受信する。ターゲットアップグレードファイルは、車両搭載制御装置によって行われたそのセキュリティ検証が成功した、少なくともターゲットアップグレード対象車両搭載機器に使用されるアップグレードファイルである。具体的には、このプロセスは、車両搭載パッケージの車両内のセキュアな伝送のプロセスである。 In step S504, the target upgrade target vehicle-mounted device receives the target upgrade file transmitted by the vehicle-mounted controller. The target upgrade file is an upgrade file used for at least the target vehicle-mounted equipment for which the security verification performed by the vehicle-mounted controller has been successful. Specifically, this process is the process of secure transmission of the vehicle-mounted package within the vehicle.
ステップS505では、ターゲットアップグレード対象車両搭載機器は、ターゲットアップグレードファイルを使用してセキュアなアップグレードを行う。1つの可能な実施態様では、アップグレード対象車両搭載機器が、そのリソース記憶能力および／もしくは処理能力が事前設定値を超える第1のアップグレード対象車両搭載機器、または事前に指定された第1のアップグレード対象車両搭載機器、例えば、処理能力が比較的強いかもしくは記憶能力が比較的強い機器、または指定された機器である場合、A／Bシステム更新（A／B System Updates）アップグレードモードがターゲットアップグレード対象車両搭載機器に使用される。具体的には、ターゲットアップグレード対象車両搭載機器は領域Aおよび領域Bを有し、アップグレード対象プログラム（ファームウェアまたはソフトウェア）が領域Aで実行され、新しいアップグレードプログラムが領域Bに書き込まれ、プログラムは、アップグレードが完了した後に領域Bで実行される。これは、車両搭載アップグレードプロセスにおける旧バージョンシステムの通常の動作に影響しない。例えば、能力が強い機器または主要な機器はA／Bシステム更新アップグレード方法を使用し、能力が弱い機器は、アップグレードが失敗したときにロールバックを行うために、バックアップノードとしてOTA Orchestratorを使用する。アップグレードが成功したとき、車両搭載機器はアップグレードパッケージを削除し、OTA Orchestratorに通知する。OTA Orchestratorは、アップグレードパッケージを削除し、データベースを更新し、車両所有者に正常なアップグレードを通知する。あるいは、OTA Orchestratorは、アップグレードサーバに通知することを選択してもよい。加えて、OTA Orchestratorは、アップグレードが成功したことを証明するために、ターゲットアップグレード対象車両搭載機器にremote attestationを行うよう命令することをさらに選択してもよい。 In step S505, the target upgrade target vehicle-mounted equipment performs a secure upgrade using the target upgrade file. In one possible embodiment, the equipment to be upgraded is the first vehicle-mounted equipment to be upgraded whose resource storage capacity and / or processing capacity exceeds the preset value, or the first pre-specified upgrade target. A / B System Updates upgrade mode is the target vehicle for vehicle-mounted equipment, for example, equipment with relatively strong processing power or memory capacity, or designated equipment. Used for on-board equipment. Specifically, the target upgrade target vehicle-mounted device has area A and area B, the upgrade target program (firmware or software) is executed in area A, a new upgrade program is written in area B, and the program is upgraded. Is executed in area B after the completion of. This does not affect the normal operation of older version systems during the vehicle-mounted upgrade process. For example, strong or major equipment uses the A / B system update upgrade method, and weak equipment uses OTA Orchestrator as a backup node to roll back if the upgrade fails. When the upgrade is successful, the vehicle-mounted equipment will remove the upgrade package and notify OTA Orchestrator. OTA Orchestrator removes the upgrade package, updates the database and notifies the vehicle owner of a successful upgrade. Alternatively, OTA Orchestrator may choose to notify the upgrade server. In addition, OTA Orchestrator may further choose to instruct the target vehicle-mounted equipment to perform remote attestation to prove that the upgrade was successful.
1つの可能な実施態様では、ターゲットアップグレード対象車両搭載機器は、第1のMACを搬送する、車両搭載制御装置によって送信された複数のデータブロックを順次に受信する。複数のデータブロックは、事前設定アルゴリズムを使用して複数のアップグレードサブファイルから生成された複数の相互関連データブロックであり、第1のMACは、第2の鍵を使用して生成された複数のデータブロックのメッセージ認証コードであり、第2の鍵は対称鍵である。言い換えると、第2の鍵は共有鍵である。したがって、ターゲットアップグレード対象機器と車両搭載制御装置との間で単純な対称鍵を使用して信憑性検証が行われさえすればよい。これにより、ターゲットアップグレード対象機器の計算作業負荷および計算の複雑さが低減される。このようにして、計算能力が比較的弱いかまたは記憶空間が比較的小さい「弱い」アップグレード対象車両搭載機器でさえも、セキュアで効率的なアップグレードが必要とし得る計算作業負荷が比較的小さく、計算の複雑さが比較的低くて済む。 In one possible embodiment, the target upgrade target vehicle-mounted device sequentially receives a plurality of data blocks transmitted by the vehicle-mounted controller carrying the first MAC. Multiple data blocks are multiple interrelated data blocks generated from multiple upgrade subfiles using a preset algorithm, and the first MAC is multiple generated using a second key. It is the message authentication code of the data block, and the second key is the symmetric key. In other words, the second key is the shared key. Therefore, it is only necessary to perform credibility verification using a simple symmetric key between the target upgrade target device and the vehicle-mounted control device. This reduces the computational workload and computational complexity of the target upgrade target equipment. In this way, even "weak" upgraded vehicle-mounted equipment with relatively weak computing power or relatively small storage space has a relatively low computational workload that may require a secure and efficient upgrade to compute. The complexity of is relatively low.
1つの可能な実施態様では、ターゲットアップグレード対象車両搭載機器は、第2の鍵を使用して事前設定アルゴリズムに基づいて複数のデータブロックに対する検証を順次に行い、複数のデータブロックすべてが検証されると、ターゲットアップグレード対象車両搭載機器は、順次に検証された複数のデータブロックをアップグレードのために結合する。具体的には、第2の鍵を使用して暗号化され、事前設定アルゴリズムを使用してコード変換され、車両搭載制御装置によって送信された複数のアップグレードサブファイルを受信した後、ターゲットアップグレード対象機器は、第2の鍵を使用して第1のMACを検査する必要があり、事前設定アルゴリズムを使用して生成された相互関連データブロックの特徴を使用して複数のデータブロックに対して関連値検査を行う。すべてのデータブロックが復号および検証された後、すなわち、すべてのデータブロックに対する検証が成功した後、ターゲットアップグレード対象機器は複数のアップグレードサブファイルをアップグレードのために完全なファイルへと結合する。 In one possible embodiment, the target upgrade target vehicle-mounted equipment uses a second key to sequentially validate multiple data blocks based on a preset algorithm, and all of the multiple data blocks are validated. The target vehicle-mounted device to be upgraded combines a plurality of sequentially verified data blocks for the upgrade. Specifically, after receiving multiple upgrade subfiles that are encrypted using a second key, code-translated using a preset algorithm, and sent by the vehicle-mounted controller, the target device to be upgraded. Must use the second key to inspect the first MAC and the associated values for multiple data blocks using the characteristics of the interrelated data blocks generated using the preset algorithm. Perform an inspection. After all data blocks have been decrypted and validated, that is, after all data blocks have been successfully validated, the target upgrade target device combines multiple upgrade subfiles into a complete file for the upgrade.
1つの可能な実施態様では、複数のアップグレードサブファイルは第3の鍵を使用して暗号化され、複数のデータブロックすべてが検証されると、ターゲットアップグレード対象車両搭載機器は、第3の鍵を使用して複数の順次に検証されたデータブロックの各々を解読し、ターゲットアップグレード対象車両搭載機器は、第3の鍵を使用して解読された複数のデータブロックをアップグレードのために結合する。言い換えると、本発明の本実施形態は、ターゲットアップグレード対象車両搭載機器が、検証された複数のアップグレードサブファイルを解読する前に暗号化され、コード変換されたアップグレードサブファイルに対して検証を行う必要があり、解読が成功した後で複数のアップグレードサブファイルをアップグレードのために結合するという点で本発明の前述の実施形態と異なる。 In one possible embodiment, multiple upgrade subfiles are encrypted using a third key, and once all of the multiple data blocks have been validated, the target vehicle-mounted device has a third key. Each of the multiple sequentially validated data blocks is decrypted using the target vehicle-mounted equipment to combine the decrypted data blocks using the third key for the upgrade. In other words, the present embodiment of the present invention requires that the target upgrade target vehicle-mounted device verifies the encrypted and code-translated upgrade subfiles before decrypting the plurality of verified upgrade subfiles. It differs from the above-described embodiment of the present invention in that it combines a plurality of upgrade subfiles for upgrade after successful decoding.
1つの可能な実施態様では、ターゲットアップグレードファイルは複数のアップグレードサブファイルを含み、ターゲットアップグレード対象車両搭載機器は、第2のMACを搬送する、車両搭載制御装置によって送信された複数のデータブロックを順次に受信する。複数のデータブロックは、事前設定アルゴリズムを使用して複数のアップグレードサブファイルから生成された複数の相互関連データブロックであり、第2のMACは第5の鍵を使用して生成された複数のデータブロックのメッセージ認証コードであり、第5の鍵は対称アルゴリズムである。ターゲットアップグレード対象車両搭載機器は、第5の鍵を使用して事前設定アルゴリズムに基づいて複数のデータブロックに対する検証を順次に行い、複数のデータブロックすべてが検証されると、ターゲットアップグレード対象車両搭載機器は、順次に検証された複数のデータブロックをアップグレードのために結合する。言い換えると、車両搭載アップグレードパッケージのブロック伝送および署名がアップグレード開発者側で実施され得る。すなわち、車両搭載制御装置によって取得される前に、事前設定アルゴリズムを使用した分割によってデータブロックが取得され、署名される。この場合、車両搭載機器は、データブロックの妥当性をまず検査する必要があり、次いで妥当と検査されたデータブロックに対してMAC処理を行う。MAC検査での計算作業負荷および計算の複雑さは、署名でのものよりはるかに小さい。したがって、車両内伝送プロセスでの車両搭載アップグレードファイルの妥当性が保証されると同時に、アップグレード対象車両搭載機器の計算作業負荷および計算の複雑さが減少し得る。したがって、車両搭載機器はセキュアかつ効率的にアップグレードされる。 In one possible embodiment, the target upgrade file contains multiple upgrade subfiles, and the target upgrade target vehicle-mounted device sequentially carries multiple blocks of data transmitted by the vehicle-mounted controller that carry a second MAC. To receive. Multiple data blocks are multiple interrelated data blocks generated from multiple upgrade subfiles using a preset algorithm, and a second MAC is multiple data generated using a fifth key. The block's message authentication code, the fifth key is the symmetric algorithm. The target upgrade target vehicle-mounted device sequentially verifies multiple data blocks based on the preset algorithm using the fifth key, and when all of the multiple data blocks are verified, the target upgrade target vehicle-mounted device. Combines multiple sequentially validated data blocks for upgrade. In other words, block transmission and signing of vehicle-mounted upgrade packages can be performed by the upgrade developer. That is, the data block is acquired and signed by partitioning using a preset algorithm before it is acquired by the vehicle-mounted controller. In this case, the vehicle-mounted device must first check the validity of the data block, and then perform MAC processing on the checked data block. The computational workload and computational complexity of MAC inspection is much less than that of signatures. Therefore, the validity of the vehicle-mounted upgrade file in the in-vehicle transmission process can be guaranteed, and at the same time, the computational workload and computational complexity of the vehicle-mounted equipment to be upgraded can be reduced. Therefore, vehicle-mounted equipment is upgraded securely and efficiently.
さらに、ターゲットアップグレード対象車両搭載機器がアップグレード操作を行うとき、ターゲットアップグレード対象車両搭載機器で複数のデータブロック内のターゲットデータブロックに対する検証が失敗した場合、車両搭載制御装置は、ターゲットアップグレード対象車両搭載機器にターゲットデータブロックを再送する。言い換えると、ターゲットアップグレード対象車両搭載機器は、車両搭載制御装置からターゲットデータブロックを再取得する。結合およびアップグレードは、すべてのデータブロックが検証されたときにのみ行われる。本発明の本実施形態では、ターゲットアップグレードファイルは複数のデータブロックに分割されるので、1つまたは複数のデータブロックに対する検証が失敗したときに、ターゲットアップグレードファイル全体ではなく1つまたは複数のデータブロックだけが再度ダウンロードされさえすればよく、それによって、オーバーヘッドが減少しアップグレード効率が向上する。 Furthermore, when the target vehicle-mounted device performs the upgrade operation, if the target data block verification for the target data block in multiple data blocks fails in the target upgrade target vehicle-mounted device, the vehicle-mounted control device is used as the target upgrade target vehicle-mounted device. Resend the target data block to. In other words, the target upgrade target vehicle-mounted device reacquires the target data block from the vehicle-mounted controller. Joins and upgrades only occur when all data blocks have been validated. In the present embodiment of the present invention, the target upgrade file is divided into a plurality of data blocks, so that when verification for one or more data blocks fails, one or more data blocks instead of the entire target upgrade file. Only need to be downloaded again, which reduces overhead and improves upgrade efficiency.
以下で、車両搭載制御装置とターゲットアップグレード対象機器との間の信憑性検証、すなわち、車両搭載制御装置が事前設定アルゴリズムを使用して車両搭載アップグレードパッケージのターゲットアップグレードファイルをどのようにしてコード変換するかを説明する。 In the following, credibility verification between the vehicle-mounted controller and the target upgrade target device, that is, how the vehicle-mounted controller uses a preset algorithm to code-convert the target upgrade file of the vehicle-mounted upgrade package. Explain.
1つの具体的な実施態様では、車両搭載アップグレードパッケージの信憑性を検証した後、OTA Orchestratorは、適時に、例えば、駐車した状態でこのプロセスを開始するか、またはOTA Orchestratorは、車両所有者にアップグレードを再度確認するよう要求することを選択し得る。OTA Orchestratorは、車両搭載アップグレードパッケージに対して分割およびコード変換処理を行い、コード変換されたアップグレードサブファイルをターゲットアップグレード対象車両搭載機器に順次に転送する。本出願は、3つの独立したコード変換方法、すなわち、Hash Chainベースの解決策、Hash Treeベースの解決策、およびBloom Filterベースの解決策を提供する。3つのコード変換方法に基づくアップグレードパッケージ車両内伝送プロセスを以下で説明する。まず、OTA Orchestratorはターゲットアップグレード対象車両搭載機器と鍵kを共有すると仮定する。共有kは静的であり得るか、またはOTA Orchestratorとターゲットアップグレード対象車両搭載機器とによって一時的に生成され得る。 In one specific embodiment, after verifying the authenticity of the vehicle-mounted upgrade package, OTA Orchestrator initiates this process in a timely manner, eg, parked, or OTA Orchestrator informs the vehicle owner. You may choose to request to confirm the upgrade again. OTA Orchestrator performs division and code conversion processing on the vehicle-mounted upgrade package, and sequentially transfers the code-converted upgrade subfile to the target vehicle-mounted equipment. The present application provides three independent code conversion methods: a Hash Chain-based solution, a Hash Tree-based solution, and a Bloom Filter-based solution. The upgrade package in-vehicle transmission process based on the three code conversion methods is described below. First, it is assumed that OTA Orchestrator shares the key k with the target vehicle-mounted equipment. The shared k can be static or can be temporarily generated by the OTA Orchestrator and the target vehicle-mounted equipment.
方法1：Hash Chainベースのコード変換方法 Method 1: Hash Chain based code conversion method
1．OTA OrchestratorがアップグレードファイルMをn個の部分：M1，M2，．．．，およびMnに分割する。 1. 1. OTA Orchestrator has n parts of the upgrade file M: M 1 , M 2 , ... .. .. , And M n .
2．M1，M2，．．．，およびMnを使用して以下のようにHash Chainを形成し、式中、H（．）は、Cryptographic Hash Functionを表す。
hn＝H（Mn）
hi＝H（Mi，hi＋1）
h2＝H（M2，h3）
2. M 1 , M 2 , ... .. .. , And M n are used to form a Hash Chain as follows, and in the equation, H (.) Represents the Cryptographic Hash Function.
h n = H (M n )
h i = H (M i , h i + 1 )
h 2 = H (M 2 , h 3 )
3．OTA Orchestratorが共有鍵k（第2の鍵）を使用してv＝MAC（k，M1｜｜ver，h2）を計算する。式中、MACは、標準的なメッセージ認証コードMessage Authentication Code、すなわち、第1のMACである。 3. 3. OTA Orchestrator uses the shared key k (second key) to calculate v = MAC (k, M 1 || ver, h 2 ). In the formula, the MAC is the standard Message Authentication Code, i.e. the first MAC.
4．第1の部分から開始して、OTA OrchestratorがMiをターゲットアップグレード対象車両搭載機器に順次に転送する。第1の部分では、OTA Orchestratorは、v，M1，ver，およびh2を転送する必要があり、残りの部分では、OTA OrchestratorはMiおよびhi＋1のみを転送しさえすればよい。 Four. Starting from the first portion, OTA Orchestrator is sequentially transfers the M i to the target upgraded onboard devices. In the first part, OTA Orchestrator is, v, must be transferred M 1, ver, and h 2, at rest, OTA Orchestrator have only to transfer only the M i and h i + 1.
5．ターゲットアップグレード対象車両搭載機器が共有鍵kを使用してMiに対する検証を順次に行う。ある部分に対する検証が失敗した場合、ターゲットアップグレード対象車両搭載機器は再送を要求し得る。すべての部分を受信および検証した後、ターゲットアップグレード対象車両搭載機器はすべての部分を結合して完全なアップグレードファイルMにする。 Five. Sequentially perform the verification for M i target upgrade target vehicle-mounted device is using the shared key k. If verification for a part fails, the target upgrade target vehicle-mounted device may request a resend. After receiving and verifying all parts, the target vehicle-mounted equipment combines all parts into a complete upgrade file M.
方法2：Hash Treeベースのコード変換方法 Method 2: Hash Tree-based code conversion method
1．OTA OrchestratorがアップグレードファイルMをn個の部分：M1，M2，．．．，およびMnに分割する。 1. 1. OTA Orchestrator has n parts of the upgrade file M: M 1 , M 2 , ... .. .. , And M n .
2．M1，M2，．．．，およびMnを使用してbinary treeを形成する。図に示されるように、葉ノードはデータを表し、各中間ノードは、hashを使用して中間ノードのサブノードの値に基づいて取得され得るルートノードの値を含み、例えば、h1＝H（M1｜｜ver｜｜M2）、およびh5＝H（h1｜｜h2）である。 2. M 1 , M 2 , ... .. .. , And M n are used to form a binary tree. As shown in the figure, the leaf nodes represent the data, and each intermediate node contains the value of the root node that can be obtained based on the value of the subnode of the intermediate node using hash, for example h 1 = H ( M 1 || ver || M 2 ) and h 5 = H (h 1 || h 2 ).
3．OTA Orchestratorが共有鍵k（第2の鍵）を使用してルートノードの値を計算する。図に示されるように、例えば、v＝MAC（k，h5｜｜h6）、すなわち、第1のMACである。 3. 3. OTA Orchestrator uses the shared key k (second key) to calculate the value of the root node. As shown in the figure, for example, v = MAC (k, h 5 || h 6 ), that is, the first MAC.
4．M1およびM2から開始して、OTA Orchestratorが2つの部分をターゲットアップグレード対象車両搭載機器にその都度転送する。最初の2つの部分では、OTA Orchestratorは、v，M1｜｜ver，M2，h2およびh6を転送する必要があり、残りの部分では、OTA Orchestratorは、2つのデータ、および2つのデータに対応する補助検証データを転送する必要がある。図では、M1およびM2の補助検証データはh2およびh6であり、M3およびM4の補助検証データは、M3およびM4に対する検証を、h2を使用して行うことができるので、空欄であり、M5およびM6の補助検証データはh4であり、M7およびM8の補助検証データは空欄である。 Four. Starting with M 1 and M 2 , OTA Orchestrator transfers the two parts to the target vehicle-mounted equipment each time. In the first two parts, OTA Orchestrator needs to transfer v, M 1 || ver, M 2 , h 2 and h 6 , and in the rest, OTA Orchestrator has two data and two. Auxiliary validation data corresponding to the data needs to be transferred. In the figure, the auxiliary verification data of M 1 and M 2 are h 2 and h 6, auxiliary verification data of M 3 and M 4 are verified for M 3 and M 4, it is effected using h 2 Since it can be done, it is blank, the auxiliary validation data for M 5 and M 6 is h 4 , and the auxiliary validation data for M 7 and M 8 is blank.
5．ターゲットアップグレード対象車両搭載機器が共有鍵kを使用して2つずつの部分に対する検証を行う。2つの部分に対する検証が失敗した場合、ターゲットアップグレード対象車両搭載機器は再送を要求し得る。すべての部分を受信および検証した後、ターゲットアップグレード対象車両搭載機器はすべての部分を結合して完全なアップグレードファイルMにする。 Five. The target vehicle-mounted device uses the shared key k to verify each of the two parts. If the verification of the two parts fails, the target upgrade target vehicle-mounted device may request a resend. After receiving and verifying all parts, the target vehicle-mounted equipment combines all parts into a complete upgrade file M.
方法3：Bloom Filterベースのコード変換方法 Method 3: Bloom Filter-based code conversion method
Bloom Filterとは、データがセット内に存在するかどうかを判断するために使用される記憶効率のよいデータ構造である。一例は以下のとおりである。 A Bloom Filter is a storage-efficient data structure used to determine if data is present in a set. An example is as follows.
長さlの配列F（Bloom Filter）が設定され、各要素の値は0に初期設定される。t個のhash function、H1，H2，．．．，およびHtが選択される。各hash functionは、そのセットから｛1，2，．．．，l｝へのマッピングである。具体的には、セットの各要素は｛1，2，．．．，l｝内の任意の値にマップされる。セット内の要素eをBloom Filterに追加するための方法は：Hi（e）を計算するステップ、およびF内のHi（e）によって指示される位置を1に変更するステップである。Fに基づいて、セット内に要素e’が存在するかどうかを判断するための方法は、e’のすべてのhash値を計算するステップ、およびF内のすべてのhash値によって指示されるすべての位置が1であるときにのみ、セット内に要素が存在すると判断するステップ、である。 An array F (Bloom Filter) of length l is set, and the value of each element is initialized to 0. t hash functions, H 1 , H 2 , ... .. .. , And H t are selected. Each hash function is {1, 2, ... From that set. .. .. , L}. Specifically, each element of the set is {1, 2, ... .. .. , L} maps to any value. The method for adding the element e in the set to the Bloom Filter is: the step of calculating Hi (e) and the step of changing the position indicated by Hi (e) in F to 1. Based on F, the way to determine if the element e'is in the set is to calculate all the hash values of e', and all the hash values dictated by all the hash values in F. This is the step of determining that an element exists in the set only when the position is 1.
Bloom Filterを使用してセット内に要素が存在するかどうかを判断することには以下の特徴がある。 Determining if an element is present in a set using a Bloom Filter has the following characteristics:
F内の要素の1つのhash値によって指示される位置が0である場合、その要素はセット内にないと判断でき、要素のすべてのhash値によって指示される位置が1である場合、要素はセット内にあると判断できるが、false positiveが存在し、false positiveの確率は
要素を追加するか、または要素がセット内にあるかどうかを判断するための時間は定数である。 The time to add an element or determine if an element is in a set is constant.
Bloom Filterコード変換に基づくアップグレードパッケージ車両内伝送プロセスは以下のとおりである。 The upgrade package in-vehicle transmission process based on Bloom Filter code conversion is as follows.
1．OTA OrchestratorがアップグレードファイルMをn個の部分：M1，M2，．．．，およびMnに分割する。 1. 1. OTA Orchestrator has n parts of the upgrade file M: M 1 , M 2 , ... .. .. , And M n .
2．OTA Orchestratorが、Bloom Filter Fを設定し、FにM1，M2，．．．，およびMnを追加し、共有鍵k（第2の鍵）を使用してv＝MAC（k，F）、すなわち、第2のMACを計算する。 2. OTA Orchestrator sets Bloom Filter F and sets F to M 1 , M 2 , ... .. .. , And M n are added, and the shared key k (second key) is used to calculate v = MAC (k, F), that is, the second MAC.
3．Fおよびvをターゲットアップグレード対象車両搭載機器に転送し、Miを順次に転送する。 3. 3. Transfer the F and v to the target upgraded onboard devices, sequentially transfers the M i.
4．ターゲットアップグレード対象車両搭載機器が、まず共有鍵kを使用してFに対する検証を行い、検証が失敗した場合、Fおよびvを再送するよう要求してもよく、各Miを受信すると、MiがF内にあるかどうかを判断し、MiがF内にない場合、Miを再送するよう要求し、最後に、受信したすべてのM1，M2，．．．，およびMnを結合して完全なアップグレードファイルMにする。 Four. When the target upgraded onboard device performs verification of F first use the shared key k, if the validation fails, may request to retransmit the F and v, receiving each M i, M i there is judged whether it is within F, if M i is not in F, and requests to retransmit the M i, finally, all of M 1 received, M 2,. .. .. , And M n are combined into the complete upgrade file M.
前述の3つの方法では、車両内通信中にアップグレードファイルの機密性（confidentiality）が保護されなくてもよいと仮定されている。アップグレードファイルの機密性が保護される必要がある場合、OTA Orchestratorは、（本出願では第3の鍵を使用して）各Miを暗号化することによって暗号文Ciをまず取得する必要があり、前述のHash Chainベースの方法、Hash Treeベースの方法、またはBloom Filterベースの方法におけるMiをCiで置き換える。言い換えると、上述のように、暗号化が第3の鍵を使用して行われる。各部分を受信した後、ターゲットアップグレード対象車両搭載機器は、信憑性が検証された後にMiを取得するためにCiを暗号化する。暗号化のための鍵は好ましくはMACで使用される鍵とは異なることに留意されたい。例えば、共有kが十分な長さである場合、kは2つの異なる鍵に分割されてもよく、そうでない場合、key derivation functionを使用してkに基づいて2つの鍵が生成され得る。 The three methods described above assume that the confidentiality of the upgrade file does not have to be protected during in-vehicle communication. If the confidentiality of the upgrade file needs to be protected, the OTA Orchestrator must first obtain the ciphertext C i by encrypting each M i (using a third key in this application). There, replaced Hash Chain based methods described above, Hash Tree-based methods or the M i in Bloom Filter based method, in C i. In other words, as mentioned above, encryption is done using a third key. After receiving the respective partial target upgraded onboard devices encrypts the C i to obtain the M i after the authenticity is verified. Note that the key for encryption is preferably different from the key used by the MAC. For example, if the shared k is long enough, k may be split into two different keys, otherwise two keys can be generated based on k using the key derivation function.
OTA Orchestratorがアップグレードファイルを分割およびコード変換する前述の3つの方法には以下の利点がある。ターゲットアップグレード対象車両搭載機器は、デジタル署名に対する検証を行わなくてもよく、対称暗号操作、すなわち、MACおよびHashの計算のみを行う。加えて、対称暗号操作は公開鍵暗号操作よりずっと効率がよい。さらに、アップグレード対象車両搭載機器は、各セグメントの妥当性に対するセグメント検証を行うことができ、したがって、無効のまたは誤ったセグメントを適時に検出して、OTA Orchestratorに、アップグレードファイル全体の再送ではなく、そのセグメントの再送を要求することができる。セグメントコード変換ではなく一般のコード変換が行われる場合、すなわち、デジタル署名の代わりにMACが使用される場合、ターゲットアップグレード対象車両搭載機器は、誤り位置を正確に特定することができず、OTA Orchestratorにアップグレードファイル全体を再送するよう要求する必要がある。したがって、本発明の本実施形態によれば、誤り位置を正確に特定することができるのみならず、車両内のアップグレード対象機器の計算作業負荷および計算の複雑さを低減させることもできるので、アップグレード対象車両搭載機器をセキュアかつ効率的にアップグレードすることができる。 The three methods mentioned above for OTA Orchestrator to split and code upgrade files have the following advantages: The target vehicle-mounted device does not have to verify the digital signature and only performs symmetric cryptographic operations, that is, MAC and Hash calculations. In addition, symmetric cryptographic operations are much more efficient than public key cryptographic operations. In addition, the vehicle-mounted equipment to be upgraded can perform segment validation against the validity of each segment, thus detecting invalid or incorrect segments in a timely manner and not resending the entire upgrade file to OTA Orchestrator. You can request a retransmission of that segment. When general code conversion is performed instead of segment code conversion, that is, when MAC is used instead of digital signature, the target vehicle-mounted equipment cannot pinpoint the error position accurately, and OTA Orchestrator Must be requested to resend the entire upgrade file. Therefore, according to the present embodiment of the present invention, not only the error position can be accurately specified, but also the calculation workload and the calculation complexity of the equipment to be upgraded in the vehicle can be reduced. The equipment installed in the target vehicle can be upgraded securely and efficiently.
前述の説明では、OTA Orchestratorはアップグレードファイルを分割する。別の実施形態では、分割がアップグレードパッケージ開発者によって行われ得る。具体的には、Hash Chainベースの方法を例にとる。 In the above description, OTA Orchestrator splits the upgrade file. In another embodiment, the split may be done by the upgrade package developer. Specifically, the Hash Chain-based method is taken as an example.
1．アップグレードパッケージ開発者がアップグレードファイルMをn個の部分：M1，M2，．．．，およびMnに分割する。 1. 1. The upgrade package developer puts the upgrade file M into n parts: M 1 , M 2 , ... .. .. , And M n .
2．M1，M2，．．．，およびMnを使用して以下のようにHash Chainを形成し、式中、H（．）は、Cryptographic Hash Functionを表す。
hn＝H（Mn）
hi＝H（Mi，hi＋1）
h2＝H（M2，h3）
2. M 1 , M 2 , ... .. .. , And M n are used to form a Hash Chain as follows, and in the equation, H (.) Represents the Cryptographic Hash Function.
h n = H (M n )
h i = H (M i , h i + 1 )
h 2 = H (M 2 , h 3 )
3．署名秘密鍵を使用して、σ＝SignD（M｜｜ver，h2）を計算する。署名は本出願の第2のデジタル署名であり、署名秘密鍵は第4の鍵である。 3. 3. Calculate σ = Sign D (M || ver, h2) using the signature private key. The signature is the second digital signature of the application and the signature private key is the fourth key.
4．［M，ver，σ］をアップグレードパッケージとして使用し、アップグレードパッケージをアップグレードサーバに配布する。任意選択で、M1，M2，．．．，およびMnは、車両搭載アップグレードパッケージの機密性を保証するためにさらに暗号化され得る。アップグレードファイルの暗号化およびアップグレードファイルの機密性の保証については前述の関連説明を参照されたい。ここでは詳細を繰り返さない。 Four. Use [M, ver, σ] as the upgrade package and distribute the upgrade package to the upgrade server. Arbitrarily selected, M 1 , M 2 , ... .. .. , And M n can be further encrypted to ensure the confidentiality of the vehicle-mounted upgrade package. See the related discussion above for encryption of upgrade files and assurance of confidentiality of upgrade files. The details are not repeated here.
OTA Orchestratorがアップグレードサーバからアップグレードパッケージを取得する必要があるとき、第1の部分から開始して、アップグレードサーバはMiをターゲットアップグレード対象車両搭載機器に順次に転送する。第1の部分では、アップグレードサーバは、σ，M1，ver，およびh2を転送する必要があり、残りの部分では、アップグレードサーバはMiおよびhi＋1のみを転送しさえすればよい。 When the OTA Orchestrator needs to obtain the upgrade package from the upgrade server, starting from the first portion, the upgrade server sequentially transfers the M i to the target upgraded onboard devices. In the first part, the upgrade server, sigma, must transfer M 1, ver, and h 2, at rest, the upgrade server only needs to transfer only the M i and h i + 1.
第1の部分M1では、OTA Orchestratorはデジタル署名σに対する検証を行う必要があり、残りの部分では、OTA Orchestratorはhi＝H（Mi，hi＋1）に対してのみ検証を行いさえすればよい。 In the first part M 1, OTA Orchestrator needs to perform verification of the digital signature sigma, at rest, OTA Orchestrator is them h i = H (M i, h i + 1) even performs only validate against Just do it.
すべての部分の受信および検証の後、OTA Orchestratorは、上述のようにコード変換を行い、すなわち、共有鍵k（本出願の第5の鍵）を使用してv＝MAC（k，M1｜｜ver，h2）を計算する。MACは第2のMACである。後続のアップグレードパッケージ車両内伝送については、アップグレードおよび確認プロセスは方法1、方法2、および方法3のプロセスと同じである。加えて、Hash Treeベースのコード変換方法およびBloom Filterベースのコード変換方法についても本発明の本実施形態ならびに前述の方法2および方法3を参照されたい。ここでは詳細を繰り返さない。 After receiving and verifying all parts, OTA Orchestrator performs the code conversion as described above, i.e. using the shared key k (fifth key of the present application) v = MAC (k, M 1 | | Ver, h 2 ) is calculated. The MAC is the second MAC. For subsequent upgrade package in-vehicle transmission, the upgrade and verification process is the same as that of Method 1, Method 2, and Method 3. In addition, for the Hash Tree-based code conversion method and the Bloom Filter-based code conversion method, refer to the present embodiment of the present invention and the above-mentioned methods 2 and 3. The details are not repeated here.
本発明の本実施形態では、車両搭載制御装置内の車両搭載アップグレードパッケージに対する信憑性検証が完了した後（任意選択で、信憑性検証の前に機密性検証がさらに行われ得る）、車両搭載制御装置は、その信憑性検証（任意選択で、機密性検証が含まれ得る）が成功した複数のアップグレードファイルを、車両搭載システム内の対応するアップグレード対象車両搭載機器に伝送する必要がある。伝送の送信側と受信側とが変更され、すなわち、車両搭載アップグレードパッケージの車両外伝送が車両搭載アップグレードパッケージの車両内伝送になる。したがって、信憑性検証または機密性検証さえもが再度行われる必要がある。加えて、本発明の本実施形態によれば、大きな計算作業負荷および高い計算の複雑さを必要とする署名検証が車両搭載制御装置側で実施され、小さい計算作業負荷および低い計算の複雑さで済むMAC検証は依然としてアップグレード対象車両搭載機器で実施される。これにより、能力が弱いアップグレード対象車両搭載機器の高いアップグレード効率が保証されるのみならず、車両搭載アップグレードプロセスにおける車両内および車両外のセキュリティも保証される。 In the present embodiment of the present invention, after the credibility verification of the vehicle-mounted upgrade package in the vehicle-mounted control device is completed (optionally, the confidentiality verification may be further performed before the credibility verification), and then the vehicle-mounted control The device needs to transmit multiple upgrade files for which its authenticity verification (optionally, confidentiality verification can be included) to the corresponding upgrade target vehicle-mounted equipment in the vehicle-mounted system. The transmission side and the receiving side of the transmission are changed, that is, the out-of-vehicle transmission of the vehicle-mounted upgrade package becomes the in-vehicle transmission of the vehicle-mounted upgrade package. Therefore, credibility verification or even confidentiality verification needs to be performed again. In addition, according to the present embodiment of the present invention, signature verification that requires a large computational workload and high computational complexity is performed on the vehicle-mounted controller side, with a small computational workload and low computational complexity. The completed MAC verification will still be performed on the vehicle-mounted equipment to be upgraded. This not only guarantees high upgrade efficiency for vulnerable upgrade target vehicle-mounted equipment, but also guarantees in-vehicle and out-of-vehicle security during the vehicle-mounted upgrade process.
前述の説明に基づき、本出願が以下の重要なテクニカルポイントを提供することが理解できよう。 Based on the above explanation, it can be understood that this application provides the following important technical points.
第1のポイントは、車両搭載アップグレードパッケージの信憑性（Authenticity）である。すなわち、アップグレード対象車両搭載機器はアップグレードパッケージの信憑性を検査する。アップグレードパッケージの信憑性を保証するために、アップグレードパッケージのデジタル署名が開発者またはアップグレードサーバ（パッケージサーバ）によって提供される必要がある。アップグレードパッケージがOTA Orchestratorに到達すると、OTA Orchestratorは、アップグレード対象車両搭載機器がデジタル署名に対する検証を行うのを支援する。次いで、OTA Orchestratorはコード変換（Transcoding）を行う。コード変換操作では、アップグレード対象車両搭載機器のためのアップグレードパッケージ信憑性検証を提供するために対称暗号が使用される。OTA Orchestratorは各アップグレード対象車両搭載機器と鍵を共有すると仮定する。この鍵は、OTA Orchestratorによって事前に配布されてもよく、具体的な配布プロセスは本出願の範囲外である。アップグレードパッケージは、コード変換（Transcoding）操作によって複数の部分に分割され、部分ごとにアップグレード対象車両搭載機器に伝送される。具体的には、Hash Chainベースのコード変換操作、Hash Treeベースのコード変換操作、およびBloom Filterベースのコード変換操作、が提供される。部分ごとのコード変換操作および部分ごとの伝送技術の利点は以下のとおりである。車両搭載機器の計算能力の限界および車両内通信ネットワークの帯域幅の限界が十分に考慮に入れられる。アップグレードパッケージ伝送誤りが発生した後、車両搭載機器は伝送誤りが発生した部分を見つけることができるので、アップグレードパッケージ全体ではなく誤り部分のみが再送を要求される。 The first point is the authenticity of the vehicle-mounted upgrade package. That is, the equipment mounted on the vehicle to be upgraded is inspected for the authenticity of the upgrade package. To ensure the authenticity of the upgrade package, the digital signature of the upgrade package must be provided by the developer or the upgrade server (package server). When the upgrade package reaches OTA Orchestrator, OTA Orchestrator will help the on-board equipment to be upgraded verify the digital signature. The OTA Orchestrator then performs transcoding. The code conversion operation uses symmetric ciphers to provide upgrade package authenticity verification for the vehicle-mounted equipment to be upgraded. It is assumed that the OTA Orchestrator shares the key with each vehicle-mounted device to be upgraded. This key may be pre-distributed by OTA Orchestrator and the specific distribution process is outside the scope of this application. The upgrade package is divided into a plurality of parts by a transcoding operation, and each part is transmitted to the equipment mounted on the vehicle to be upgraded. Specifically, Hash Chain-based code conversion operations, Hash Tree-based code conversion operations, and Bloom Filter-based code conversion operations are provided. The advantages of the code conversion operation for each part and the transmission technology for each part are as follows. The computational power limits of vehicle-mounted equipment and the bandwidth limits of in-vehicle communication networks are fully taken into account. After an upgrade package transmission error occurs, the vehicle-mounted equipment can find the part where the transmission error occurred, so only the error part is required to be retransmitted, not the entire upgrade package.
第2のポイントは、車両搭載アップグレードパッケージの機密性（Confidentiality）である。すなわち、攻撃者はリバースエンジニアリング技術を使用してアップグレードパッケージのコンテンツを解析し得る。したがって、車両搭載アップグレードパッケージの機密性が保護される必要がある。保護解決策は以下の2つのケースに基づいて提供される。 The second point is the Confidentiality of the vehicle-mounted upgrade package. That is, an attacker could use reverse engineering techniques to analyze the contents of the upgrade package. Therefore, the confidentiality of vehicle-mounted upgrade packages needs to be protected. Protection solutions are provided based on two cases:
a．アップグレードパッケージがアップグレードサーバで暗号化されない場合、車両搭載Telematicsがアップグレードパッケージを取得するときに、アップグレードサーバは、セキュアなチャネルを介してアップグレードパッケージを送信するために、車両搭載Telematicsに対して識別認証を行い、セキュアなチャネルを確立する必要がある。 a. If the upgrade package is not encrypted by the upgrade server, when the vehicle-mounted Telematics obtains the upgrade package, the upgrade server authenticates to the vehicle-mounted Telematics in order to send the upgrade package over a secure channel. You need to do it and establish a secure channel.
b．アップグレードパッケージがアップグレードサーバで（対称鍵を使用して）暗号化される場合、車両搭載Telematicsは、鍵サーバから暗号鍵を取得する必要があり、他のステップはケースaのステップと同じである。 b. If the upgrade package is encrypted on the upgrade server (using a symmetric key), the vehicle-mounted Telematics will need to obtain the encryption key from the key server, with the other steps being the same as in case a.
最後のポイントは、能力ベースのアップグレードポリシーである。すなわち、異なる車両搭載機器は異なる計算能力および記憶リソースを有する。例えば、車両搭載Telematics、ゲートウェイ、およびVCUは通常、比較的強い能力を有するが、ほとんどの車両搭載機器（ECU）は比較的弱い処理能力を有する。したがって、能力ベースのアップグレードポリシーが提供される。具体的には、能力が強い機器または主要機器にはA／Bシステム更新アップグレードモードが使用される必要があるが、能力が弱い機器では、アップグレードが失敗したときのロールバックを行うために、OTA Orchestratorの助けを借りてアップグレード対象車両搭載機器の旧バージョンのファームウェアまたはソフトウェアがバックアップされ得る。 The final point is the ability-based upgrade policy. That is, different vehicle-mounted devices have different computing power and storage resources. For example, vehicle-mounted Telematics, gateways, and VCUs typically have relatively strong capabilities, while most vehicle-mounted equipment (ECUs) have relatively weak processing power. Therefore, a capability-based upgrade policy is provided. Specifically, the A / B system update upgrade mode should be used for high-capacity equipment or major equipment, but for weak-capacity equipment, OTA is used to perform rollback when the upgrade fails. With the help of Orchestrator, older versions of firmware or software on the vehicle-mounted equipment to be upgraded may be backed up.
以上で本発明の実施形態の方法を詳細に説明した。以下で、本発明の実施形態の関連装置を示す。 The method of the embodiment of the present invention has been described in detail above. The related devices according to the embodiment of the present invention are shown below.
図6は、本発明の一実施形態による車両搭載アップグレード装置の概略的構造図である。本車両搭載アップグレード装置は車両搭載システムに適用され、車両搭載システムは、車両搭載制御装置と、1つまたは複数のアップグレード対象車両搭載機器とを含む。車両搭載アップグレード装置10は、前述のシステムにおける車両搭載制御装置であってもよく、装置10は、アップグレードパッケージ取得部101と、アップグレード管理部102と、アップグレード伝送部103とを含み得る。以下でこれらのユニットを具体的に説明する。 FIG. 6 is a schematic structural diagram of a vehicle-mounted upgrade device according to an embodiment of the present invention. The vehicle-mounted upgrade device is applied to a vehicle-mounted system, and the vehicle-mounted system includes a vehicle-mounted control device and one or more vehicle-mounted devices to be upgraded. The vehicle-mounted upgrade device 10 may be a vehicle-mounted control device in the system described above, and the device 10 may include an upgrade package acquisition unit 101, an upgrade management unit 102, and an upgrade transmission unit 103. These units will be described in detail below.
アップグレードパッケージ取得部101は、車両搭載アップグレードパッケージを取得し、車両搭載アップグレードパッケージが複数のアップグレードファイルを含み、各アップグレードファイルが少なくとも1つのアップグレード対象車両搭載機器をアップグレードするために使用される、ように構成される。 The upgrade package acquisition unit 101 acquires the vehicle-mounted upgrade package so that the vehicle-mounted upgrade package contains multiple upgrade files and each upgrade file is used to upgrade at least one vehicle-mounted equipment to be upgraded. It is composed.
アップグレード管理部102は、複数のアップグレードファイルに対してセキュリティ検証を行うように構成される。 The upgrade management unit 102 is configured to perform security verification on a plurality of upgrade files.
アップグレード伝送部103は、ターゲットアップグレードファイルを使用してアップグレードされるべきターゲットアップグレード対象車両搭載機器にターゲットアップグレードファイルを送信し、ターゲットアップグレードファイルが、複数のアップグレードファイル内のそのセキュリティ検証が成功したアップグレードファイルである、ように構成される。 The upgrade transmission unit 103 uses the target upgrade file to send the target upgrade file to the target vehicle-mounted equipment to be upgraded, and the target upgrade file is an upgrade file whose security verification is successful in the multiple upgrade files. Is configured to be.
1つの可能な実施態様では、車両搭載アップグレードパッケージは第1のデジタル署名を含み、アップグレード管理部は、第1のデジタル署名を使用して複数のアップグレードファイルに対してデジタル署名検証を行うように特に構成される。 In one possible embodiment, the vehicle-mounted upgrade package includes a first digital signature, and the upgrade management department specifically uses the first digital signature to perform digital signature verification on multiple upgrade files. It is composed.
1つの可能な実施態様では、装置10は、
アップグレードサーバに識別認証情報を送信するように構成された、識別認証部と、
識別認証情報がアップグレードサーバによって認証された場合、車両搭載制御装置とアップグレードサーバとの間にセキュアなチャネルを確立する、ように構成された、チャネル確立部と
をさらに含み、
アップグレードパッケージ取得部は、セキュアなチャネルを介してアップグレードサーバから車両搭載アップグレードパッケージを取得するように特に構成される。
In one possible embodiment, the device 10
An identity and authentication unit configured to send identity and authentication information to the upgrade server,
It also includes a channel establishment unit configured to establish a secure channel between the vehicle-mounted controller and the upgrade server if the identification credentials are authenticated by the upgrade server.
The upgrade package acquisition unit is specifically configured to acquire the vehicle-mounted upgrade package from the upgrade server via a secure channel.
1つの可能な実施態様では、車両搭載アップグレードパッケージは第1の鍵を使用して暗号化され、第1の鍵は対称鍵であり、本装置は、
鍵サーバから第1の鍵を取得するように構成された、鍵取得部
をさらに含み、
装置10は、
第1のデジタル署名を使用して複数のアップグレードファイルに対してデジタル署名検証が行われた後、車両搭載制御装置のために、デジタル署名検証が成功した場合、第1の鍵を使用して複数のアップグレードファイルを解読する、ように構成された、解読部
をさらに含む。
In one possible embodiment, the vehicle-mounted upgrade package is encrypted using a first key, the first key is a symmetric key, and the device is
It also includes a key acquisition unit, which is configured to acquire the first key from the key server.
Device 10
After digital signature verification is performed on multiple upgrade files using the first digital signature, if the digital signature verification is successful for the vehicle-mounted controller, then multiple using the first key Includes a decryption section, configured to decrypt the upgrade file of.
1つの可能な実施態様では、アップグレード伝送部103は、
ターゲットアップグレードファイルを複数のアップグレードサブファイルに分割し、事前設定アルゴリズムを使用して複数のアップグレードサブファイルから複数の相互関連データブロックを生成し、第2の鍵を使用して複数のデータブロックの第1のメッセージ認証コードMACを生成し、第2の鍵が対称アルゴリズム鍵であり、ターゲットアップグレード対象車両搭載機器に、第1のMACを搬送する複数のデータブロックを順次に送信する
ように特に構成される。
In one possible embodiment, the upgrade transmission unit 103
Divide the target upgrade file into multiple upgrade subfiles, use a preconfigured algorithm to generate multiple interrelated data blocks from multiple upgrade subfiles, and use a second key to create multiple data blocks. It is specifically configured to generate one message authentication code MAC, the second key is the symmetric algorithm key, and sequentially send multiple blocks of data carrying the first MAC to the target vehicle-mounted equipment. File.
1つの可能な実施態様では、装置10は、
第3の鍵を使用して複数のアップグレードサブファイルの各々を暗号化するように構成された、暗号化部
をさらに含み、
アップグレード伝送部103は、
ターゲットアップグレードファイルを複数のアップグレードサブファイルに分割し、車両搭載制御装置のために事前設定アルゴリズムを使用して、第3の鍵を使用して暗号化された複数のアップグレードサブファイルから複数の相互関連データブロックを生成し、第2の鍵を使用して複数のデータブロックの第1のメッセージ認証コードMACを生成し、第2の鍵が対称アルゴリズム鍵であり、ターゲットアップグレード対象車両搭載機器に、第1のMACを搬送する複数のデータブロックを順次に送信する、
ように特に構成される。
In one possible embodiment, the device 10
It also contains an encryption part, which is configured to encrypt each of the multiple upgrade subfiles using a third key.
The upgrade transmission unit 103
Split the target upgrade file into multiple upgrade subfiles and use preconfigured algorithms for vehicle-mounted controllers to correlate multiple upgrade subfiles encrypted with a third key. Generate a data block and use the second key to generate the first message authentication code MAC for multiple data blocks, the second key is the symmetric algorithm key, and the target vehicle-mounted device Send multiple data blocks that carry one MAC in sequence,
Especially configured as.
1つの可能な実施態様では、ターゲットアップグレードファイルは複数のアップグレードサブファイルを含み、事前設定アルゴリズムを使用して複数のアップグレードサブファイルから複数の相互関連データブロックが生成され、複数のアップグレードサブファイルは、第4の鍵を使用して生成された複数のデータブロックの第2のデジタル署名を搬送し、第4の鍵は非対称鍵であり、
アップグレード管理部102は、車両搭載制御装置のために、複数のデータブロックの第2のデジタル署名を検査するように特に構成され、
アップグレード伝送部103は、第5の鍵を使用して複数のデータブロックの第2のMACを生成し、第5の鍵が対称アルゴリズム鍵であり、ターゲットアップグレード対象車両搭載機器に、第2のMACを搬送する複数のデータブロックを順次に送信する、ように特に構成される。
In one possible embodiment, the target upgrade file contains multiple upgrade subfiles, multiple upgrade subfiles are used to generate multiple interrelated data blocks from multiple upgrade subfiles, and multiple upgrade subfiles Carrying the second digital signature of multiple data blocks generated using the fourth key, the fourth key is an asymmetric key,
The upgrade control unit 102 is specifically configured to inspect the second digital signature of multiple data blocks for the vehicle-mounted controller.
The upgrade transmission unit 103 uses the fifth key to generate the second MAC of a plurality of data blocks, and the fifth key is the symmetric algorithm key, and the second MAC is applied to the target vehicle-mounted device. It is specifically configured to sequentially transmit multiple data blocks that carry the algorithm.
1つの可能な実施態様では、事前設定アルゴリズムは、Hash Chainアルゴリズム、Hash Treeアルゴリズム、および Bloom Filterアルゴリズムのいずれか1つを含む。 In one possible embodiment, the preset algorithm includes any one of the Hash Chain algorithm, the Hash Tree algorithm, and the Bloom Filter algorithm.
1つの可能な実施態様では、装置10は、
ターゲットアップグレード対象車両搭載機器にターゲットデータブロックを再送するように構成された再送部であって、ターゲットデータブロックが、複数のデータブロック内のターゲットアップグレード対象車両搭載機器でその検証が失敗したデータブロックである、再送部
をさらに含む。
In one possible embodiment, the device 10
A retransmission unit configured to retransmit the target data block to the target vehicle-mounted device to be upgraded, and the target data block is a data block whose verification failed in the target upgrade target vehicle-mounted device in multiple data blocks. It also includes a retransmission section.
本発明の本実施形態に記載される車両搭載アップグレード装置10の各機能部の機能については、図1から図6に示される方法実施形態の関連説明を参照することに留意されたい。ここでは詳細を繰り返さない。 It should be noted that for the functions of the functional parts of the vehicle-mounted upgrade device 10 described in the present embodiment of the present invention, the related description of the method embodiment shown in FIGS. 1 to 6 is referred to. The details are not repeated here.
図7は、本発明の一実施形態によるアップグレード対象車両搭載装置の概略的構造図である。アップグレード対象車両搭載装置20は車両搭載システムに適用され、車両搭載システムは、車両搭載制御装置と、1つまたは複数のアップグレード対象車両搭載機器とを含む。アップグレード対象車両搭載装置20は前述のシステムにおけるアップグレード対象車両搭載機器であってもよく、装置20は、受信部201とアップグレード部202とを含み得る。以下でこれらのユニットを具体的に説明する。 FIG. 7 is a schematic structural diagram of a vehicle-mounted device to be upgraded according to an embodiment of the present invention. The upgrade target vehicle-mounted device 20 is applied to a vehicle-mounted system, and the vehicle-mounted system includes a vehicle-mounted control device and one or more upgrade target vehicle-mounted devices. The upgrade target vehicle-mounted device 20 may be the upgrade target vehicle-mounted device in the above-mentioned system, and the device 20 may include a receiving unit 201 and an upgrade unit 202. These units will be described in detail below.
受信部201は、車両搭載制御装置によって送信されたターゲットアップグレードファイルを受信し、ターゲットアップグレードファイルが、車両搭載制御装置によって行われたそのセキュリティ検証が成功した、少なくともターゲットアップグレード対象車両搭載機器をアップグレードするために使用されるアップグレードファイルである、ように構成される。 The receiver 201 receives the target upgrade file transmitted by the vehicle-mounted controller, and the target upgrade file upgrades at least the target vehicle-mounted equipment for which the security verification performed by the vehicle-mounted controller has been successful. It is configured to be an upgrade file used for.
アップグレード部202は、ターゲットアップグレードファイルを使用してセキュアなアップグレードを行うために使用される。 Upgrade unit 202 is used to perform a secure upgrade using the target upgrade file.
1つの可能な実施態様では、アップグレード部202は、
A／Bシステム更新アップグレードモードを使用し、ターゲットアップグレードファイルを使用してセキュアなアップグレードを行い、アップグレード対象車両搭載機器が、そのリソース記憶能力および／もしくは処理能力が事前設定値を超える第1のアップグレード対象車両搭載機器、または事前に指定された第1のアップグレード対象車両搭載機器である、
ように特に構成される。
In one possible embodiment, upgrade unit 202
First upgrade using A / B system update upgrade mode, using the target upgrade file to perform a secure upgrade, and the equipment to be upgraded exceeds its resource storage capacity and / or processing capacity. Eligible vehicle-equipped equipment, or pre-designated first upgrade target vehicle-equipped equipment,
Especially configured as.
1つの可能な実施態様では、ターゲットアップグレードファイルは複数のアップグレードサブファイルを含み、受信部201は、
第1のMACを搬送する、車両搭載制御装置によって送信された複数のデータブロックを順次に受信し、複数のデータブロックが、事前設定アルゴリズムを使用して複数のアップグレードサブファイルから生成された複数の相互関連データブロックであり、第1のMACが第2の鍵を使用して生成された複数のデータブロックのメッセージ認証コードであり、第2の鍵が対称鍵である、
ように特に構成され、
アップグレード部202は、
第2の鍵を使用して事前設定アルゴリズムに基づいて複数のデータブロックに対する検証を順次に行い、複数のデータブロックすべてが検証されると、それら複数の順次に検証されたデータブロックをアップグレードのために結合する、
ように特に構成される。
In one possible embodiment, the target upgrade file contains multiple upgrade subfiles and the receiver 201
Multiple data blocks transmitted by a vehicle-mounted controller that carry the first MAC are sequentially received, and multiple data blocks are generated from multiple upgrade subfiles using a preset algorithm. An interrelated data block, the first MAC is the message authentication code for multiple data blocks generated using the second key, and the second key is the symmetric key.
Specially configured as
Upgrade unit 202
The second key is used to sequentially validate multiple data blocks based on a preset algorithm, and once all of the multiple data blocks have been validated, the multiple sequential validated data blocks are upgraded. Combine with,
Especially configured as.
1つの可能な実施態様では、複数のアップグレードサブファイルは第3の鍵を使用して暗号化され、
アップグレード部202は、
第2の鍵を使用して事前設定アルゴリズムに基づいて複数のデータブロックに対する検証を順次に行い、複数のデータブロックすべてが検証されると、第3の鍵を使用してそれら複数の順次に検証されたデータブロックの各々を解読し、第3の鍵を使用して解読された複数のデータブロックを解読のために結合する、
ように特に構成される。
In one possible embodiment, multiple upgrade subfiles are encrypted using a third key,
Upgrade unit 202
The second key is used to sequentially validate multiple data blocks based on a preset algorithm, and once all of the multiple data blocks are validated, the third key is used to validate the multiple blocks sequentially. Decrypt each of the decrypted data blocks and combine multiple decrypted data blocks for decryption using a third key,
Especially configured as.
1つの可能な実施態様では、受信部201は、
第2のMACを搬送する、車両搭載制御装置によって送信された複数のデータブロックを順次に受信し、複数のデータブロックが、事前設定アルゴリズムを使用して複数のアップグレードサブファイルから生成された複数の相互関連データブロックであり、第2のMACが第5の鍵を使用して生成された複数のデータブロックのメッセージ認証コードであり、第5の鍵が対称アルゴリズムである、
ように特に構成され、
アップグレード部202は、
第5の鍵を使用して事前設定アルゴリズムに基づいて複数のデータブロックに対する検証を順次に行い、複数のデータブロックすべてが検証されると、それら複数の順次に検証されたデータブロックをアップグレードのために結合する、
ように特に構成される。
In one possible embodiment, the receiver 201
Multiple data blocks transmitted by a vehicle-mounted controller that carry a second MAC are sequentially received, and multiple data blocks are generated from multiple upgrade subfiles using a preset algorithm. Interrelated data blocks, the second MAC is the message authentication code for multiple data blocks generated using the fifth key, and the fifth key is the symmetric algorithm.
Specially configured as
Upgrade unit 202
Sequential validation of multiple data blocks based on a preset algorithm using the fifth key, and once all of the multiple data blocks have been validated, the multiple sequentially validated data blocks for upgrade Combine with,
Especially configured as.
1つの可能な実施態様では、装置20は、
車両搭載制御装置からターゲットデータブロックを再取得するように構成された再送部であって、ターゲットデータブロックが、複数のデータブロック内のターゲットアップグレード対象車両搭載機器でその検証が失敗したデータブロックである、再送部
をさらに含む。
In one possible embodiment, the device 20
It is a retransmission unit configured to reacquire the target data block from the vehicle-mounted control device, and the target data block is a data block whose verification has failed in the target upgrade target vehicle-mounted device in a plurality of data blocks. , Further includes a retransmission section.
本発明の本実施形態に記載されるアップグレード対象車両搭載装置20の各機能部の機能については、図1から図6に示される方法実施形態の関連説明を参照することに留意されたい。ここでは詳細を繰り返さない。 It should be noted that for the functions of the functional parts of the vehicle-mounted device 20 to be upgraded described in the present embodiment of the present invention, the related description of the method embodiment shown in FIGS. 1 to 6 is referred to. The details are not repeated here.
図8は、本発明の一実施形態による機器の概略的構造図である。図8の構造ではアップグレード対象車両搭載装置10とアップグレード対象車両搭載装置20の両方が実施され得る。機器30は、少なくとも1つのプロセッサ301と、少なくとも1つのメモリ302と、少なくとも1つの通信インターフェース303とを含む。加えて、この機器は、アンテナなどの汎用構成要素をさらに含んでいてもよく、ここでは詳細を述べない。 FIG. 8 is a schematic structural diagram of an apparatus according to an embodiment of the present invention. In the structure of FIG. 8, both the upgrade target vehicle mounting device 10 and the upgrade target vehicle mounting device 20 can be implemented. The device 30 includes at least one processor 301, at least one memory 302, and at least one communication interface 303. In addition, the device may further include general purpose components such as antennas, which are not described in detail here.
プロセッサ301は、汎用中央処理装置（CPU）、マイクロプロセッサ、特定用途向け集積回路（Application Specific Integrated Circuit、ASIC）、または前述の解決策のプログラムの実行を制御するための1つもしくは複数の集積回路であり得る。 Processor 301 is a general-purpose central processing unit (CPU), microprocessor, application specific integrated circuit (ASIC), or one or more integrated circuits for controlling the execution of programs in the above-mentioned solutions. Can be.
通信インターフェース303は、アップグレードサーバ、鍵サーバ、もしくは車両内機器などの別の機器と、または通信ネットワークと通信するように構成される。 The communication interface 303 is configured to communicate with another device, such as an upgrade server, key server, or in-vehicle device, or with a communication network.
メモリ302は、静的情報および命令を格納することができる読取り専用メモリ（read−only memory、ROM）もしくは任意のタイプの静的記憶デバイス、または情報および命令を格納することができるランダムアクセスメモリ（random access memory、RAM）もしくは任意のタイプの動的記憶デバイスであってもよく、または電気的消去可能プログラム可能読取り専用メモリ（Electrically Erasable Programmable Read−Only Memory、EEPROM）、コンパクトディスク読取り専用メモリ（Compact Disc Read−Only Memory、CD−ROM）もしくは他の光ディスク記憶、（コンパクトディスク、レーザディスク、光ディスク、デジタル多用途ディスク、ブルーレイディスクなどを含む）光ディスク、磁気ディスク記憶媒体もしくは別の磁気記憶デバイス、または命令またはデータ構造形態で予期されるプログラムコードを搬送もしくは格納するために使用することができ、コンピュータによってアクセスできる任意の他の媒体であってもよいが、これに限定されない。メモリは独立して存在していてもよく、バスを使用してプロセッサに接続される。あるいは、メモリはプロセッサと一体化されていてもよい。 Memory 302 is a read-only memory (ROM) that can store static information and instructions, or any type of static storage device, or a random access memory that can store information and instructions. Random access memory (RAM) or any type of dynamic storage device, or electrically erasable programmable read-only memory (EEPROM), compact disk read-only memory (Compact) Disc Read-Only Memory, CD-ROM) or other optical storage, optical discs (including compact discs, laser discs, optical discs, digital versatile discs, Blu-ray discs, etc.), magnetic disc storage media or other magnetic storage devices, or It may be, but is not limited to, any other medium that can be used to carry or store the expected program code in the form of instructions or data structures and is accessible by a computer. The memory may exist independently and is connected to the processor using a bus. Alternatively, the memory may be integrated with the processor.
メモリ302は、前述の解決策を実行するためのアプリケーションプログラムコードを格納するように構成され、プロセッサ301は実行を制御する。プロセッサ301は、メモリ302に格納されたアプリケーションプログラムコードを実行するように構成される。 The memory 302 is configured to store the application program code for executing the above-mentioned solution, and the processor 301 controls the execution. Processor 301 is configured to execute application program code stored in memory 302.
図8に示される機器が車両搭載機器アップグレード装置10であるとき、メモリ302に格納されたコードは、図2に示される車両搭載機器アップグレード方法、例えば、車両搭載アップグレードパッケージを取得するステップであって、車両搭載アップグレードパッケージが複数のアップグレードファイルを含み、各アップグレードファイルが少なくとも1つのアップグレード対象車両搭載機器をアップグレードするために使用される、ステップや、複数のアップグレードファイルに対してセキュリティ検証を行うステップや、ターゲットアップグレードファイルを使用してアップグレードされるべきであるターゲットアップグレード対象車両搭載機器にターゲットアップグレードファイルを送信するステップであって、ターゲットアップグレードファイルが、複数のアップグレードファイル内のそのセキュリティ検証が成功したアップグレードファイルである、ステップ、を行うために使用され得る。 When the device shown in FIG. 8 is the vehicle-mounted equipment upgrade device 10, the code stored in the memory 302 is the step of obtaining the vehicle-mounted equipment upgrade method shown in FIG. 2, for example, the vehicle-mounted upgrade package. , The vehicle-mounted upgrade package contains multiple upgrade files, and each upgrade file is used to upgrade at least one vehicle-mounted equipment to be upgraded, such as steps and security verification steps for multiple upgrade files. The target upgrade file is a step that sends the target upgrade file to the target vehicle-mounted equipment that should be upgraded using the target upgrade file, and the target upgrade file is an upgrade whose security verification is successful in multiple upgrade files. Can be used to perform steps, which are files.
本発明の本実施形態に記載される車両搭載機器アップグレード装置10の各機能部の機能については、図5に示される方法実施形態のステップS502およびステップS503の関連説明を参照することに留意されたい。ここでは詳細を繰り返さない。 It should be noted that for the function of each functional part of the vehicle-mounted equipment upgrade device 10 described in the present embodiment of the present invention, the related description of step S502 and step S503 of the method embodiment shown in FIG. 5 is referred to. .. The details are not repeated here.
図8に示される機器がアップグレード対象車両搭載装置20であるとき、メモリ302に格納されたコードは、図9に示される車両搭載機器アップグレード方法、例えば、車両搭載制御装置によって送信されたターゲットアップグレードファイルを受信するステップであって、ターゲットアップグレードファイルが、車両搭載制御装置によって行われたそのセキュリティ検証が成功した、少なくともターゲットアップグレード対象車両搭載機器をアップグレードするために使用されるアップグレードファイルである、ステップや、ターゲットアップグレードファイルを使用してセキュアなアップグレードを行うステップ、を行うために使用され得る。 When the device shown in FIG. 8 is the vehicle-mounted device 20 to be upgraded, the code stored in the memory 302 is the target upgrade file transmitted by the vehicle-mounted device upgrade method shown in FIG. 9, for example, the vehicle-mounted controller. The target upgrade file is an upgrade file that has been successfully validated by the vehicle-mounted controller and is at least used to upgrade the target vehicle-mounted equipment. Can be used to perform a secure upgrade step, using a target upgrade file.
本発明の本実施形態に記載されるアップグレード対象車両搭載装置20の各機能部の機能については、図5に示される方法実施形態のステップS504およびステップS505の関連説明を参照することに留意されたい。ここでは詳細を繰り返さない。 It should be noted that for the function of each functional unit of the vehicle-mounted device 20 to be upgraded described in the present embodiment of the present invention, the related description of step S504 and step S505 of the method embodiment shown in FIG. 5 is referred to. .. The details are not repeated here.
図9は、本発明の一実施形態によるインテリジェント車両の概略的構造図である。インテリジェント車両40は、車両搭載制御装置401と、少なくとも1つのアップグレード対象車両搭載機器402とを含む。 FIG. 9 is a schematic structural diagram of an intelligent vehicle according to an embodiment of the present invention. The intelligent vehicle 40 includes a vehicle-mounted controller 401 and at least one upgradeable vehicle-mounted device 402.
車両搭載装置401は、車両搭載アップグレードパッケージを取得し、車両搭載アップグレードパッケージ内の複数のアップグレードファイルに対してセキュリティ検証を行い、ターゲットアップグレードファイルを使用してアップグレードされるべきであるターゲットアップグレード対象車両搭載機器にターゲットアップグレードファイルを送信し、各アップグレードファイルが少なくとも1つのアップグレード対象車両搭載機器をアップグレードするために使用され、ターゲットアップグレードファイルが、複数のアップグレードファイル内のその検証が成功したアップグレードファイルである、ように構成される。 Vehicle-mounted device 401 should obtain a vehicle-mounted upgrade package, perform security verification on multiple upgrade files in the vehicle-mounted upgrade package, and upgrade using the target upgrade file. Send the target upgrade file to the equipment, each upgrade file is used to upgrade at least one vehicle-mounted equipment to be upgraded, and the target upgrade file is the upgrade file whose validation was successful in multiple upgrade files. It is configured as follows.
アップグレード対象車両搭載機器402は、車両搭載制御装置によって送信されたターゲットアップグレードファイルを受信し、ターゲットアップグレードファイルを使用してセキュアなアップグレードを行い、アップグレード対象車両搭載機器がターゲットアップグレード対象車両搭載機器である、ように構成される、 The upgrade target vehicle-mounted device 402 receives the target upgrade file transmitted by the vehicle-mounted controller, performs a secure upgrade using the target upgrade file, and the upgrade target vehicle-mounted device is the target upgrade target vehicle-mounted device. , Which is configured as
1つの可能な実施態様では、車両搭載制御装置401は、第1のデジタル署名を使用して複数のアップグレードファイルに対してデジタル署名検証を行うように特に構成される。 In one possible embodiment, the vehicle-mounted controller 401 is specifically configured to perform digital signature verification on a plurality of upgrade files using a first digital signature.
1つの可能な実施態様では、車両搭載制御装置401は、
アップグレードサーバに識別認証情報を送信し、識別認証情報がアップグレードサーバによって認証された場合、車両搭載制御装置とアップグレードサーバとの間にセキュアなチャネルを確立し、セキュアなチャネルを介してアップグレードサーバから車両搭載アップグレードパッケージを取得する、
ように特に構成されるか、または
車両搭載アップグレードパッケージは第1の鍵を使用して暗号化され、第1の鍵は対称鍵であり、車両搭載制御装置401は、
第1の鍵を鍵サーバから取得し、第1のデジタル署名を使用して複数のアップグレードファイルに対して行われたデジタル署名検証が成功した後、第1の鍵を使用して複数のアップグレードファイルを解読する、
ように特に構成される。
In one possible embodiment, the vehicle-mounted controller 401 is
If the identification credentials are sent to the upgrade server and the identification credentials are authenticated by the upgrade server, a secure channel is established between the vehicle-mounted controller and the upgrade server, and the upgrade server sends the vehicle through the secure channel. Get the on-board upgrade package,
As specifically configured or the vehicle-mounted upgrade package is encrypted using a first key, the first key is a symmetric key, and the vehicle-mounted controller 401 is
Multiple upgrade files using the first key after successfully obtaining the first key from the key server and performing digital signature verification on multiple upgrade files using the first digital signature To decipher
Especially configured as.
1つの可能な実施態様では、車両搭載制御装置401は、
ターゲットアップグレードファイルを複数のアップグレードサブファイルに分割し、事前設定アルゴリズムを使用して複数の相互関連データブロックを生成し、第2の鍵を使用して複数のデータブロックの第1のメッセージ認証コードMACを生成し、ターゲットアップグレード対象車両搭載機器に、第1のMACを搬送する複数のデータブロックを順次に送信し、第2の鍵が対称アルゴリズム鍵である、
ように特に構成され、
アップグレード対象車両搭載機器402は、
第1のMACを搬送する、車両搭載制御装置によって送信された複数のデータブロックを順次に受信し、第2の鍵を使用して事前設定アルゴリズムに基づいて複数のデータブロックに対する検証を順次に行い、複数のデータブロックすべてが検証されると、それら複数の順次に検証されたデータブロックをアップグレードのために結合する、
ように特に構成される。
In one possible embodiment, the vehicle-mounted controller 401 is
Split the target upgrade file into multiple upgrade subfiles, use a preconfigured algorithm to generate multiple interrelated data blocks, and use a second key to use the second key to generate the first message authentication code MAC for multiple data blocks. Is generated, and multiple data blocks carrying the first MAC are sequentially transmitted to the target vehicle-mounted device, and the second key is the symmetric algorithm key.
Specially configured as
Vehicle-mounted equipment 402 to be upgraded
Multiple data blocks transmitted by the vehicle-mounted controller that carry the first MAC are sequentially received, and the second key is used to sequentially verify the multiple data blocks based on the preset algorithm. Once all of the multiple data blocks have been validated, combine those multiple sequential validated data blocks for upgrade.
Especially configured as.
1つの可能な実施態様では、車両搭載制御装置401は、
第3の鍵を使用して複数のアップグレードサブファイルの各々を暗号化し、事前設定アルゴリズムを使用して、第3の鍵を使用して暗号化された複数のアップグレードサブファイルから複数の相互関連データブロックを生成する、
ように特に構成され、
アップグレード対象車両搭載機器402は、
複数のデータブロックすべてが検証されると、第3の鍵を使用してそれら複数の順次に検証されたデータブロックの各々を解読し、第3の鍵を使用して解読された複数のデータブロックをアップグレードのために結合する、
ように特に構成される。
In one possible embodiment, the vehicle-mounted controller 401 is
Multiple upgrade subfiles are encrypted using a third key, and multiple interrelated data from multiple upgrade subfiles encrypted using a third key using a preconfigured algorithm. Generate blocks,
Specially configured as
Vehicle-mounted equipment 402 to be upgraded
Once all of the data blocks have been validated, the third key is used to decrypt each of those sequential validated data blocks, and the third key is used to decrypt the decrypted data blocks. Combine for upgrade,
Especially configured as.
1つの可能な実施態様では、ターゲットアップグレードファイルは複数のアップグレードサブファイルを含み、事前設定アルゴリズムを使用して複数のアップグレードサブファイルから複数の相互関連データブロックが生成され、複数のアップグレードサブファイルは、第4の鍵を使用して生成された複数のデータブロックの第2のデジタル署名を搬送し、第4の鍵は非対称鍵であり、
車両搭載制御装置401は、
複数のデータブロックの第2のデジタル署名を検査し、第5の鍵を使用して複数のデータブロックの第2のMACを生成し、ターゲットアップグレード対象車両搭載機器に、第2のMACを搬送する複数のデータブロックを順次に送信し、第5の鍵が対称アルゴリズム鍵である、
ように特に構成され、
アップグレード対象車両搭載機器402は、
第2のMACを搬送する、車両搭載制御装置によって送信された複数のデータブロックを順次に受信し、第5の鍵を使用して事前設定アルゴリズムに基づいて複数のデータブロックに対する検証を順次に行い、複数のデータブロックすべてが検証されると、それら複数の順次に検証されたデータブロックをアップグレードのために結合する、
ように特に構成される。
In one possible embodiment, the target upgrade file contains multiple upgrade subfiles, multiple upgrade subfiles are used to generate multiple interrelated data blocks from multiple upgrade subfiles, and multiple upgrade subfiles Carrying the second digital signature of multiple data blocks generated using the fourth key, the fourth key is an asymmetric key,
The vehicle-mounted control device 401 is
Inspects the second digital signature of multiple data blocks, uses the fifth key to generate a second MAC for multiple data blocks, and transports the second MAC to the target vehicle-mounted equipment. Sending multiple data blocks in sequence, the fifth key is the symmetric algorithm key,
Specially configured as
Vehicle-mounted equipment 402 to be upgraded
Multiple data blocks transmitted by the vehicle-mounted controller that carry the second MAC are sequentially received, and the fifth key is used to sequentially verify the multiple data blocks based on the preset algorithm. Once all of the multiple data blocks have been validated, combine those multiple sequential validated data blocks for upgrade.
Especially configured as.
本発明の本実施形態に記載されるインテリジェント車両40の車両搭載制御装置401およびアップグレード対象車両搭載機器402については、図5に示される方法実施形態における車両搭載制御装置およびアップグレード対象車両搭載機器の関連説明を参照することに留意されたい。ここでは詳細を繰り返さない。 Regarding the vehicle-mounted control device 401 and the upgrade target vehicle-mounted device 402 of the intelligent vehicle 40 described in the present embodiment of the present invention, the relationship between the vehicle-mounted control device and the upgrade target vehicle-mounted device in the method embodiment shown in FIG. Please note that the description is referenced. The details are not repeated here.
インテリジェント車両40は、コンピュータ、最新の感知法、情報収束、通信、人工知能、自動制御、および他の技術を使用して、インテリジェント運転システム、ライフサービスシステム、安全保護システム、測位サービスシステム、カーサービスシステムなどの機能とさらに統合され得ることが理解できよう。これについては本出願では特に限定されず、ここでは詳細を述べない。 Intelligent Vehicle 40 uses computers, state-of-the-art sensing methods, information convergence, communication, artificial intelligence, automatic control, and other technologies to intelligent driving systems, life service systems, security protection systems, positioning service systems, car services. You can see that it can be further integrated with features such as systems. This is not particularly limited in this application and will not be described in detail here.
本発明の一実施形態はコンピュータ記憶媒体をさらに提供する。本コンピュータ記憶媒体はプログラムを格納し、実行されると、プログラムは、前述の方法実施形態のいずれか1つに記載されるステップの一部または全部を行う。 One embodiment of the present invention further provides a computer storage medium. The computer storage medium stores the program and when executed, the program performs some or all of the steps described in any one of the aforementioned method embodiments.
本発明の一実施形態はコンピュータプログラムをさらに提供する。本コンピュータプログラムは命令を含み、本コンピュータプログラムがコンピュータによって実行されると、コンピュータは、車両搭載機器アップグレード方法のいずれか1つのステップの一部または全部を行うことができるようになる。 One embodiment of the present invention further provides a computer program. The computer program contains instructions, and when the computer program is executed by the computer, the computer will be able to perform some or all of the steps of any one of the vehicle-mounted equipment upgrade methods.
前述の各実施形態において、各実施形態の記述にはそれぞれの視点がある。ある実施形態で詳細に記載されていない部分については、他の実施形態の関連説明を参照されたい。 In each of the above-described embodiments, the description of each embodiment has its own viewpoint. For parts not described in detail in one embodiment, refer to the related description of other embodiments.
説明を簡単にするために、前述の方法実施形態は一連の動作として表されていることに留意されたい。しかしながら、本出願によれば、いくつかのステップは他の順序でまたは同時に行われ得るので、本出願は記載の動作順序に限定されないことを、当業者は理解するはずである。本明細書に記載されている実施形態はすべて実施形態の例であり、関連した動作およびモジュールは必ずしも本出願に必要であるとは限らないことが当業者にはさらに理解されるはずである。 Note that for the sake of brevity, the method embodiments described above are represented as a series of operations. However, one of ordinary skill in the art should understand that according to the present application, the application is not limited to the order of operation described, as some steps may be performed in other order or at the same time. It should be further understood by those skilled in the art that all embodiments described herein are examples of embodiments and that related actions and modules are not always required in this application.
本出願で提供されるいくつかの実施形態では、開示の装置は他のやり方でも実施され得ることを理解されたい。例えば、記載の装置実施形態は一例にすぎない。例えば、ユニット分割は論理的機能分割にすぎず、実際の実装に際しては他の分割であってもよい。例えば、複数のユニットもしくはコンポーネントが別のシステムに結合もしくは統合される場合もあり、またはいくつかの特徴が無視されるかもしくは実行されない場合もある。加えて、図示または記載の相互結合または直接結合または通信接続が、いくつかのインターフェースを介して実現されてもよい。装置間またはユニット間の間接結合または通信接続は、電気的形態または他の形態として実現され得る。 It should be understood that in some embodiments provided in this application, the disclosed device may be implemented in other ways as well. For example, the device embodiment described is only an example. For example, the unit division is only a logical functional division, and may be another division in the actual implementation. For example, multiple units or components may be combined or integrated into another system, or some features may be ignored or not implemented. In addition, the interconnected or direct coupled or communication connections shown or described may be realized via several interfaces. Indirect coupling or communication connections between devices or units can be realized in electrical or other forms.
別々の部品として記載された前述のユニットは物理的に分離している場合もそうでない場合もあり、ユニットとして図示された部品は物理的ユニットである場合もそうでない場合もあり、一箇所に位置する場合もあり、複数のネットワークユニット上に分散されている場合もある。ユニットの一部または全部が、各実施形態の解決策の目的を達成するための実際の要件に基づいて選択されてもよい。 The aforementioned units described as separate parts may or may not be physically separated, and the parts shown as units may or may not be physical units and are located in one place. In some cases, it may be distributed over multiple network units. Part or all of the units may be selected based on the actual requirements to achieve the objectives of the solution of each embodiment.
加えて、本出願の各実施形態における機能ユニットは1つの処理ユニットに統合されてもよく、またはユニットの各々が物理的に独立して存在していてもよく、または2つ以上のユニットが1つのユニットに統合される。統合ユニットはハードウェアの形態で実現されてもよく、ソフトウェア機能部の形態で実現されてもよい。 In addition, the functional units in each embodiment of the present application may be integrated into one processing unit, or each of the units may be physically independent, or two or more units may be one. Integrated into one unit. The integrated unit may be realized in the form of hardware or in the form of a software function unit.
前述の統合ユニットがソフトウェア機能ユニットの形態で実現され、独立した製品として販売または使用される場合、その統合ユニットはコンピュータ可読記憶媒体に記憶され得る。そうした理解に基づき、本出願の技術解決策は本質的に、または先行技術に寄与する部分、または技術解決策の全部もしくは一部は、ソフトウェア製品の形態で実現され得る。コンピュータソフトウェア製品は記憶媒体に格納され、（パーソナルコンピュータ、サーバ、ネットワーク機器などとし得る）コンピュータデバイスに、本出願の実施形態に記載される方法のステップの全部または一部を実行するよう命令するためのいくつかの命令を含む。前述の記憶媒体は、USBフラッシュドライブ、リムーバブルハードディスク、磁気ディスク、光ディスク、読取り専用メモリ（Read−Only Memory、略称ROM）、ランダムアクセスメモリ（Random Access Memory、略称RAM）、などの、プログラムコードを格納することができる任意の媒体を含む。 When the above-mentioned integrated unit is realized in the form of a software functional unit and sold or used as an independent product, the integrated unit may be stored in a computer-readable storage medium. Based on such understanding, the technical solutions of the present application may be realized in the form of software products, in essence, or in part that contributes to the prior art, or in whole or in part. The computer software product is stored on a storage medium to instruct a computer device (which may be a personal computer, server, network device, etc.) to perform all or part of the steps of the method described in embodiments of this application. Includes several instructions. The above-mentioned storage medium stores program code such as a USB flash drive, a removable hard disk, a magnetic disk, an optical disk, a read-only memory (abbreviated as ROM), and a random access memory (abbreviated as RAM). Includes any medium that can be.
前述の実施形態は、本出願を限定するためのものではなく、本出願の技術的解決策を説明するためのものにすぎない。本出願は前述の実施形態に関連して詳細に説明されているが、本出願の実施形態の技術的解決策の趣旨および範囲を逸脱することなく、前述の実施形態に記載されている技術的解決策にさらに改変を行い得るかまたは前述の実施形態の一部の技術的特徴に対する等価の置換を行い得ることを当業者は理解するはずである。 The aforementioned embodiments are not intended to limit the application, but merely to explain the technical solutions of the application. Although the present application has been described in detail in connection with the aforementioned embodiments, the technical aspects described in the aforementioned embodiments without departing from the spirit and scope of the technical solutions of the embodiments of the present application. Those skilled in the art will appreciate that the solution may be further modified or equivalent substitutions may be made to some of the technical features of the aforementioned embodiments.
10 車両搭載アップグレード装置
101 アップグレードパッケージ取得部
102 アップグレード管理部
103 アップグレード伝送部
20 アップグレード対象車両搭載装置
201 受信部
202 アップグレード部
30 機器
301 プロセッサ
302 メモリ
303 通信インターフェース
40 インテリジェント車両
401 車両搭載制御装置
402 アップグレード対象車両搭載機器
10 Vehicle-mounted upgrade device
101 Upgrade Package Acquisition Department
102 Upgrade Management Department
103 Upgrade transmission
20 Vehicle-mounted equipment to be upgraded
201 Receiver
202 Upgrade Department
30 equipment
301 processor
302 memory
303 communication interface
40 Intelligent vehicle
401 Vehicle-mounted controller
402 Vehicle-mounted equipment to be upgraded
しかしながら、アップグレード対象車両搭載機器のリモートアップグレード中には、一部の更新の対象である車両搭載機器に計算能力の限界や記憶空間の限界などの問題があるので、更新の対象である車両搭載機器のアップグレードの効率が比較的低く、車両搭載システム全体のアップグレードに影響を及ぼすことさえある。したがって、どのようにして車両搭載機器のセキュアで効率的なファームウェア／ソフトウェアアップグレードを保証するかが喫緊の解決を要する問題である。
However, during the remote upgrade of the vehicle-mounted equipment to be upgraded, some of the vehicle-mounted equipment to be updated have problems such as the limit of computing power and the limit of storage space, so the vehicle-mounted equipment to be updated Upgrades are relatively inefficient and can even affect the upgrade of the entire vehicle-mounted system. Therefore, how to ensure a secure and efficient firmware / software upgrade for vehicle-mounted equipment is an urgent issue to be resolved.
第1の態様によれば、本発明の一実施形態は車両搭載機器アップグレード方法を提供し、本車両搭載機器アップグレード方法は、
車両搭載制御装置が、車両搭載アップグレードパッケージを取得するステップであって、車両搭載アップグレードパッケージが複数のアップグレードファイルを含み、各アップグレードファイルが少なくとも1つのアップグレード対象車両搭載機器をアップグレードするために使用される、ステップと、車両搭載制御装置が、複数のアップグレードファイルに対してセキュリティ検証を行うステップと、車両搭載制御装置が、ターゲットアップグレードファイルを使用してアップグレードされるべきターゲットアップグレード対象車両搭載機器にターゲットアップグレードファイルを送信するステップであって、ターゲットアップグレードファイルが、複数のアップグレードファイル内のそのセキュリティ検証が成功したアップグレードファイルである、ステップと
を含む。本発明の本実施形態によれば、車両搭載制御装置側で、車両搭載機器をアップグレードするために必要な車両搭載アップグレードパッケージに対してセキュリティ検証処理が行われて、異なるアップグレード能力を有する更新の対象である車両搭載機器がセキュリティ検証プロセスに関与するのを防止し、それによって、車両搭載機器が車両搭載アップグレードパッケージを使用してセキュアかつ効率的にアップグレードされることが保証される。
According to the first aspect, one embodiment of the present invention provides a vehicle-mounted device upgrade method, the vehicle-mounted device upgrade method.
The vehicle-mounted controller is the step to obtain the vehicle-mounted upgrade package, where the vehicle-mounted upgrade package contains multiple upgrade files, and each upgrade file is used to upgrade at least one vehicle-mounted equipment to be upgraded. , Steps, and the step that the vehicle-mounted controller performs security verification for multiple upgrade files, and the target upgrade of the vehicle-mounted controller to the target vehicle-mounted equipment that should be upgraded using the target upgrade file. Includes a step of submitting a file, where the target upgrade file is an upgrade file that has been successfully validated for security within multiple upgrade files. According to the present embodiment of the present invention, the vehicle-mounted control device side performs security verification processing on the vehicle-mounted upgrade package required for upgrading the vehicle-mounted equipment, and is subject to update having different upgrade capabilities. Prevents the vehicle-mounted equipment from being involved in the security verification process, thereby ensuring that the vehicle-mounted equipment is upgraded securely and efficiently using the vehicle-mounted upgrade package.
第3の態様によれば、本発明の一実施形態は車両搭載機器アップグレード方法を提供し、本車両搭載機器アップグレード方法は、
ターゲットアップグレード対象車両搭載機器が、車両搭載制御装置によって送信されたターゲットアップグレードファイルを受信するステップであって、ターゲットアップグレードファイルが、車両搭載制御装置によって行われたそのセキュリティ検証が成功した、少なくともターゲットアップグレード対象車両搭載機器をアップグレードするために使用されるアップグレードファイルである、ステップと、ターゲットアップグレード対象車両搭載機器が、ターゲットアップグレードファイルを使用してセキュアなアップグレードを行うステップと
を含み得る。本発明の本実施形態では、ターゲットアップグレード対象車両搭載機器は、そのセキュリティ検証処理が車両搭載制御装置側ですでに行われたアップグレードファイルを受信し、異なるアップグレード能力を有する更新の対象である車両搭載機器がセキュリティ検証プロセスに関与するのを防止するために、アップグレードファイルを使用して機器アップグレードを行い、それによって、アップグレード対象車両搭載機器が車両搭載アップグレードパッケージを使用してセキュアかつ効率的にアップグレードされることが保証される。
According to a third aspect, one embodiment of the present invention provides a vehicle-mounted device upgrade method, wherein the vehicle-mounted device upgrade method is:
Target Upgrade The target vehicle-mounted device is the step of receiving the target upgrade file sent by the vehicle-mounted controller, and the target upgrade file has been successfully verified for security by the vehicle-mounted controller, at least the target upgrade. It may include steps, which are upgrade files used to upgrade the target vehicle-mounted equipment, and steps in which the target vehicle-mounted equipment performs a secure upgrade using the target upgrade file. In the present embodiment of the present invention, the target upgrade target vehicle-mounted device receives the upgrade file whose security verification process has already been performed on the vehicle-mounted control device side, and is mounted on the vehicle that is the target of the update having different upgrade capabilities. Equipment upgrades are performed using upgrade files to prevent equipment from being involved in the security verification process, which allows the equipment to be upgraded to be upgraded securely and efficiently using the vehicle-mounted upgrade package. Is guaranteed to be.
第5の態様によれば、本出願は、アップグレード対象車両搭載装置を提供する。装置は、前述の車両搭載機器アップグレード方法実施形態のいずれか1つの方法を実施する機能を有する。この機能は、ハードウェアを使用するか、またはハードウェアが対応するソフトウェアを実行することによって実施され得る。ハードウェアまたはソフトウェアは機能に対応する1つまたは複数のモジュールを含む。
According to a fifth aspect, the present application provides a vehicle-mounted device to be upgraded. The device has a function of implementing any one of the vehicle-mounted equipment upgrade method embodiments described above. This function may be performed by using the hardware or by running the corresponding software on the hardware. Hardware or software contains one or more modules that correspond to a function.
（5）．コントローラエリアネットワーク（Controller Area Network、CAN）バスとは、世界で最も広く適用されているフィールドバスである。CANバスの高信頼性と強力な誤り検出能力は多くの注目を集めており、したがってCANバスは、車両コンピュータ制御システム、ならびにハッシュ周囲温度、強い電磁放射、および激しい振動を伴う産業環境に広く適用されている。CANバスは、広く適用されているフィールドバスであり、工業計測および制御ならびに工業自動化などの分野で大きな応用展望を有する。CANは、シリアル通信バスネットワークである。CANバスには、データ通信における信頼性、リアルタイム、および柔軟性という利点がある。透過的な設計および柔軟な実行のために、CANバスの構造は、ISO／OSI標準モデルに従って物理層とデータリンク層（論理リンク制御LLC副層と媒体アクセス制御MAC副層とを含む）とに分割される。
(5) . The Controller Area Network (CAN) bus is the most widely applied fieldbus in the world. The reliability and powerful error detection capability of the CAN bus has received a lot of attention, so the CAN bus is widely applied to vehicle computer control systems as well as industrial environments with hash ambient temperatures, strong electromagnetic radiation, and violent vibrations. Has been done. The CAN bus is a widely applied fieldbus and has great application prospects in fields such as industrial measurement and control and industrial automation. CAN is a serial communication bus network. The CAN bus has the advantages of reliability, real-time, and flexibility in data communication. For transparent design and flexible execution, the structure of the CAN bus is in the physical layer and data link layer (including the logical link control LLC sublayer and the medium access control MAC sublayer) according to the ISO / OSI standard model. It is divided.
（6）．メッセージ認証コード（Message Authentication Code、MAC）とは、信号源のための符号化機能である。MACは、ダイジェストアルゴリズムと類似しているが、計算時に鍵を使用する必要があり、したがってMACは、使用される鍵とそのMACが計算される必要がある情報の両方に依存する。実際には、MACは通常、ダイジェストアルゴリズムに基づく構築によって取得される。
(6) . A message authentication code (MAC) is an encoding function for a signal source. The MAC is similar to the digest algorithm, but the key must be used during the calculation, so the MAC depends on both the key used and the information on which the MAC needs to be calculated. In practice, the MAC is usually obtained by construction based on the digest algorithm.
（7）．鍵導出アルゴリズム（Key Derivation Function、KDF）とは、暗号化および解読時に使用される鍵導出関数である。鍵導出関数の機能は、共有秘密ビットシリアルポートから鍵データを導出することである。鍵折衝時に、鍵導出関数は、鍵交換において取得された秘密ビットストリングに作用して、必要なセッション鍵またはさらなる暗号化に必要な鍵データを生成する。
(7) . A key derivation function (KDF) is a key derivation function used during encryption and decryption. The function of the key derivation function is to derive the key data from the shared secret bit serial port. During key negotiation, the key derivation function acts on the secret bitstring obtained in the key exchange to generate the required session key or key data required for further encryption.
（8）．公開鍵暗号（非対称暗号）：公開鍵暗号は非対称暗号とも呼ばれる。非対称鍵アルゴリズムとは、暗号化アルゴリズムの暗号鍵がその暗号化アルゴリズムの解読鍵と異なるか、または暗号化アルゴリズムの一方の鍵を他方の鍵を使用して推定できないことを意味する。公開鍵暗号を有するユーザは暗号鍵と解読鍵を有し、暗号鍵を使用して解読鍵を取得することができない。加えて、暗号鍵は公開である。公開鍵暗号はこの原理に基づいて、秘密鍵として支援情報（トラップドア情報）を使用するように設計される。このタイプの暗号のセキュリティは、このタイプの暗号が基礎とする問題の計算の複雑さに依存する。現在、一般的な公開鍵暗号には、RSA公開鍵暗号、ElGamal公開鍵暗号、および楕円曲線暗号が含まれる。
(8) . Public-key cryptography (asymmetric cryptography): Public-key cryptography is also called asymmetric cryptography. The asymmetric key algorithm means that the encryption key of the encryption algorithm is different from the decryption key of the encryption algorithm, or one key of the encryption algorithm cannot be estimated using the other key. A user with public key cryptography has an encryption key and a decryption key, and cannot obtain the decryption key using the encryption key. In addition, the encryption key is public. Based on this principle, public key cryptography is designed to use support information (trapdoor information) as a private key. The security of this type of cipher depends on the computational complexity of the problems underlying this type of cipher. Currently, common public key cryptography includes RSA public key cryptography, ElGamal public key cryptography, and elliptic curve cryptography.
（9）．対称暗号：対称鍵暗号化は専用鍵暗号化とも呼ばれる。具体的には、データ送信側とデータ受信側とが必ず同じ鍵を使用して平文に対する暗号化操作および解読操作を行う。すなわち、暗号鍵を解読鍵から推定することができ、逆もまた同様である。ほとんどの対称アルゴリズムでは、暗号鍵は解読鍵と同じである。これらのアルゴリズムは、秘密鍵アルゴリズムまたは単一鍵アルゴリズムとも呼ばれ、送信側と受信側とがセキュアな通信の前に鍵に同意することを必要とする。対称アルゴリズムのセキュリティは鍵に依存し、鍵の漏出は、誰でもメッセージを暗号化および解読することができることを意味する。鍵は、通信が機密性を必要とするならば秘密に保持される必要がある。
(9) . Symmetrical encryption: Symmetrical key encryption is also called dedicated key encryption. Specifically, the data transmitting side and the data receiving side always use the same key to perform the encryption operation and the decryption operation on the plaintext. That is, the encryption key can be inferred from the decryption key and vice versa. In most symmetric algorithms, the encryption key is the same as the decryption key. These algorithms, also called private key algorithms or single key algorithms, require the sender and receiver to consent to the key prior to secure communication. The security of the symmetric algorithm depends on the key, and a key leak means that anyone can encrypt and decrypt the message. The key needs to be kept confidential if the communication requires confidentiality.
（10）．トランスポート層セキュリティ（Transport Layer Security、TLS）プロトコルが、機密性と、2つのアプリケーションプログラム間のデータ整合性を提供するために使用される。プロトコルは2つの層、TLSレコード（TLS Record）プロトコルとTLSハンドシェイク（TLS Handshake）プロトコルとを含む。トランスポート層セキュリティ（TLS）プロトコルは、機密性と、2つの通信アプリケーションプログラム間のデータ整合性を提供するために使用される。
(10) . The Transport Layer Security (TLS) protocol is used to provide confidentiality and data integrity between two application programs. The protocol includes two layers, the TLS Record protocol and the TLS Handshake protocol. The Transport Layer Security (TLS) protocol is used to provide confidentiality and data integrity between two communication application programs.
解決策1：ジェイタグ（Joint Test Action Group、JTAG）インターフェースまたはバックグラウンドデバッグモード（Background Debug Mode、BDM）インターフェースを使用して、オンライン書込みを行うか、または車両搭載機器が分解された後で書込みを行う。具体的には、方法1および方法2が含まれ得る。
Solution 1: Use the Joint Test Action Group (JTAG) interface or the Background Debug Mode (BDM) interface to write online or after the vehicle-mounted equipment has been disassembled. Do. Specifically, method 1 and method 2 may be included.
前述の解決策1および解決策2に加えて、現在、リモートアップグレードが一部の車両に実施されている。しかしながら、リモートアップグレードは一般に、主として計算能力が比較的強く記憶空間が比較的大きい車両搭載機器に実施される。言い換えると、現在、計算能力が比較的弱いかまたは記憶空間が比較的小さい車両搭載機器に、セキュアで効率的なファームウェア／ソフトウェアアップグレード方法を提供することができない。したがって、車両搭載システム内の様々なアップグレード能力を有する更新の対象である車両搭載機器のためにセキュアで効率的なファームウェア／ソフトウェアアップグレードをどのように実施するかが、本出願で実際に解決される必要がある技術的問題である。
In addition to Solution 1 and Solution 2 above, remote upgrades are currently being implemented on some vehicles. However, remote upgrades are generally performed primarily on vehicle-mounted equipment with relatively high computational power and relatively large storage space. In other words, it is currently not possible to provide a secure and efficient firmware / software upgrade method for vehicle-mounted equipment with relatively weak computing power or relatively small storage space. Therefore, how to perform secure and efficient firmware / software upgrades for vehicle-mounted equipment that is subject to updates with various upgrade capabilities within the vehicle-mounted system is actually resolved in this application. It is a technical issue that needs to be done.
本発明の実施形態の理解を容易にするために、前述の説明に基づき、以下でまず、本発明の実施形態に適用される車両搭載アップグレードシステムアーキテクチャを説明する。図1は、本発明の一実施形態による車両搭載システムアップグレードアーキテクチャ（略してアーキテクチャ1）の図である。本出願で提供される車両搭載機器アップグレード方法はこのシステムアーキテクチャに適用され得る。システムアーキテクチャは、アップグレードサーバと、車両搭載制御装置と、HMI（ヒューマンマシンインターフェース）、BMS（バッテリ管理システム）、ECU1、およびECU2などの複数の更新の対象である車両搭載機器とを含む。車両搭載制御装置は、複数の更新の対象である車両搭載機器のアップグレードプロセスを管理および支援するように構成されたTelematics ユニットおよびOTAオーケストレータ（OTA Orchestrator）ユニットを含み得る。このシステムアーキテクチャでは、車両搭載機器のリモートアップグレードは、アップグレードパッケージのリリース、アップグレードパッケージの取得、アップグレードパッケージの車両内伝送、ならびにアップグレードおよび確認、の基本プロセスを含み得る。
In order to facilitate the understanding of the embodiments of the present invention, the vehicle-mounted upgrade system architecture applied to the embodiments of the present invention will first be described below based on the above description. FIG. 1 is a diagram of a vehicle-mounted system upgrade architecture (abbreviated as architecture 1) according to an embodiment of the present invention. The vehicle-mounted equipment upgrade method provided in this application may be applied to this system architecture. The system architecture includes an upgrade server, a vehicle-mounted controller, and vehicle-mounted equipment that is subject to multiple updates, such as HMI (human-machine interface), BMS (battery management system), ECU1, and ECU2. The vehicle-mounted controller may include a Telematics unit and an OTA Orchestrator unit that are configured to manage and assist the upgrade process of the vehicle-mounted equipment that is subject to multiple updates . In this system architecture, remote upgrade of vehicle-mounted equipment may include the basic processes of releasing an upgrade package, obtaining an upgrade package, transmitting the upgrade package in-vehicle, and upgrading and verifying.
車両搭載制御装置内のOTA Orchestratorは、車両内の更新の対象である車両搭載機器との通信の責任を負う。本出願では、車両搭載アップグレードパッケージは、Telematicsおよび管理ユニット／モジュールを通り、最終的にはターゲットアップグレード対象車両搭載機器に到達する。OTA Orchestratorの主機能は、車両搭載機器のアップグレードプロセスの管理および支援である。具体的には、OTA Orchestratorは以下の機能を持つ必要がある：鍵の配布および管理、OTAプロセス管理、大きな計算作業負荷を必要とする動作で能力の弱い別のアップグレード対象車両搭載機器を支援すること、例えば、アップグレードパッケージの整合性および信憑性を検証することや、Transcoding（コード変換）、ならびにアップグレードが失敗したときのロールバックのために、能力の弱い別のアップグレード対象車両搭載機器のバックアップノードの役割を果たすこと。OTA Orchestratorは論理エンティティであり、Telematics、Gateway、またはVCUなどの任意の強力なユニットまたはモジュール上に物理的に配置することができる。OTA Orchestratorの構造は図2に示され得る。図2は、本発明の一実施形態によるOTA Orchestratorの概略的構造図である。OTA Orchestratorは、プロセッサCPU、関連した揮発性メモリRAM、関連した不揮発性メモリROM、および鍵、例えば、車両搭載機器と共有される静的鍵を格納するように構成されたセキュアな記憶装置を含み得る。OTA Orchestratorは、OTA管理プログラムを格納するように構成されたメモリをさらに含み、OTA管理プログラムは、アップグレードプロセスを管理するために使用され、CAN busまたは別の車両内ネットワークを介して別の車両搭載機器と通信できるネットワークインターフェースをさらに含む。OTA OrchestratorがTelematics上で実施される場合、OTA Orchestratorは、ネットワークインターフェースが外部ネットワークと通信することをさらに必要とすることが理解できよう。すなわち、OTA Orchestratorは、車両搭載機器がリモートアップグレードを完了するのを支援し、別の車両搭載機器によって信頼されるように、比較的強力な計算能力と比較的大容量のリソースとを有する必要がある。論理アーキテクチャ分割に関して、OTA Orchestratorはアーキテクチャを、車両外通信部分と車両内通信部分とに分割する。車両内部分の機器は、公開鍵暗号操作ではなく、対称暗号操作を行いさえすればよい。公開鍵暗号操作が行われる必要がある場合、公開鍵暗号操作は、車両内のアップグレード対象機器の計算作業負荷および計算の複雑さを低減させるために、OTA Orchestratorに割り当てられる。
The OTA Orchestrator in the vehicle-mounted controller is responsible for communicating with the vehicle-mounted equipment that is subject to in-vehicle updates . In this application, the vehicle-mounted upgrade package passes through Telematics and management units / modules and finally reaches the target vehicle-mounted equipment for upgrade. The main function of OTA Orchestrator is to manage and assist the upgrade process of vehicle-mounted equipment. Specifically, the OTA Orchestrator must have the following features: Key distribution and management, OTA process management, and support for other low-capacity vehicle-mounted equipment for operations that require heavy computational workloads: A backup node for another vehicle-mounted device to be upgraded that is less capable for verifying the integrity and authenticity of the upgrade package, for example, for transcoding, and rollback in the event of an upgrade failure. To play the role of. OTA Orchestrator is a logical entity that can be physically placed on any powerful unit or module such as Telematics, Gateway, or VCU. The structure of the OTA Orchestrator can be shown in Figure 2. FIG. 2 is a schematic structural diagram of an OTA Orchestrator according to an embodiment of the present invention. The OTA Orchestrator includes a processor CPU, associated volatile memory RAM, associated non-volatile memory ROM, and a secure storage device configured to store keys, such as static keys shared with vehicle-mounted equipment. obtain. The OTA Orchestrator also includes memory configured to store the OTA management program, which is used to manage the upgrade process and is mounted on another vehicle via CAN bus or another in-vehicle network. It also includes a network interface that can communicate with the device. When OTA Orchestrator is implemented on Telematics, it can be seen that OTA Orchestrator needs more network interfaces to communicate with external networks. That is, the OTA Orchestrator must have relatively powerful computing power and relatively large resources to help the vehicle-mounted equipment complete the remote upgrade and be trusted by another vehicle-mounted equipment. is there. Regarding the logical architecture division, OTA Orchestrator divides the architecture into an out-of-vehicle communication part and an in-vehicle communication part. The equipment inside the vehicle only needs to perform a symmetric cryptographic operation instead of a public key cryptographic operation. If the public key encryption operation needs to be performed, the public key cryptographic operation, in order to reduce the complexity of the computational workload and calculation of upgrading equipment in the vehicle, are assigned to OTA Orchestrator.
更新の対象である車両搭載機器について、更新の対象である車両搭載機器のいずれか1つの構成は図3に示され得る。図3は、本発明の一実施形態によるアップグレード対象車両搭載機器の概略的構造図である。アップグレード対象車両搭載機器は、マイクロコントローラ（Micro controller）と、CANコントローラ（CAN controller）と、送受信機（Transceiver）とを含み得る。アップグレード対象車両搭載機器は、送受信機Transceiverを使用してCAN busなどの車両内ネットワークと通信する。CAN controllerは、CANプロトコルを実施するように構成され、マイクロコントローラは、アップグレードの前後の関連した計算処理を実施するように構成される。例えば、マイクロコントローラは、本出願でアップグレード対象車両搭載機器によって行われる車両搭載機器アップグレード方法を実施し得る。前述の概略的構造図を参照すると、本出願では、ターゲットアップグレード対象車両搭載機器が、送受信機（Transceiver）を使用してCAN busなどの車両内ネットワークに基づいて、車両搭載制御装置によって送信されたターゲットアップグレードファイルを受信し、ターゲットアップグレードファイルおよびマイクロコントローラ（Micro Controller）を使用してセキュアなアップグレードを行う。より具体的な機能については、後続の実施形態におけるアップグレード対象車両搭載機器に関連した機能に関する説明を参照されたい。
For the vehicle-mounted equipment to be updated, the configuration of any one of the vehicle-mounted equipment to be updated may be shown in FIG. FIG. 3 is a schematic structural diagram of a vehicle-mounted device to be upgraded according to an embodiment of the present invention. Vehicle-mounted equipment to be upgraded may include a microcontroller (Micro controller), a CAN controller (CAN controller), and a transceiver (Transceiver). Vehicle-mounted equipment to be upgraded uses the transceiver Transceiver to communicate with the in-vehicle network such as CAN bus. The CAN controller is configured to perform the CAN protocol and the microcontroller is configured to perform the relevant computational processing before and after the upgrade. For example, the microcontroller may implement the vehicle-mounted equipment upgrade method performed by the vehicle-mounted equipment to be upgraded in this application. With reference to the schematic structure above, in this application, the target upgrade target vehicle-mounted equipment was transmitted by the vehicle-mounted controller based on an in-vehicle network such as CAN bus using a transmitter / receiver (Transceiver). Receive the target upgrade file and use the target upgrade file and the Micro Controller to perform a secure upgrade. For more specific functions, refer to the description of the functions related to the equipment mounted on the vehicle to be upgraded in the subsequent embodiments.
車両搭載制御装置および複数の更新の対象である車両搭載機器の具体的な機能などの他の態様については、図1に対応する車両搭載システムアップグレードアーキテクチャ内の機能エンティティまたはユニットに関する説明を参照することが理解できよう。ここでは詳細を繰り返さない。
For other aspects, such as the specific functionality of the vehicle-mounted controller and the vehicle-mounted equipment that is subject to multiple updates , see the description of functional entities or units in the vehicle-mounted system upgrade architecture corresponding to Figure 1. Can be understood. The details are not repeated here.
図1および図4の車両搭載システムアップグレードアーキテクチャは、本発明の実施形態の実施態様の2つの例にすぎないことに留意されたい。本発明の実施形態の通信システムアーキテクチャは、前述のシステムアーキテクチャを含むがこれに限定されない。
It should be noted that the vehicle-mounted system upgrade architecture of FIGS . 1 and 4 is only two examples of embodiments of the embodiments of the present invention. The communication system architecture of the embodiment of the present invention includes, but is not limited to, the system architecture described above.
ステップS503では、異なる更新の対象である車両搭載機器が、車両搭載アップグレードパッケージ内の一部のアップグレードファイルのみに対応し得る。したがって、車両搭載制御装置は、複数のアップグレードファイル内のそのセキュリティ検証が成功したターゲットアップグレードファイルを、ターゲットアップグレードファイルを使用してアップグレードされるべきターゲットアップグレード対象車両搭載機器に送信する必要がある。ターゲットアップグレードファイル内のアップグレードサブファイルのサイズおよびコンテンツは異なり得ることが理解できよう。
In step S503, the vehicle-mounted equipment subject to different updates may only support some upgrade files in the vehicle-mounted upgrade package. Therefore, the vehicle-mounted controller needs to send the successfully verified target upgrade file in the multiple upgrade files to the target upgrade target vehicle-mounted device to be upgraded using the target upgrade file. It can be seen that the size and content of the upgrade subfiles in the target upgrade file can vary.
ステップS504では、ターゲットアップグレード対象車両搭載機器は、車両搭載制御装置によって送信されたターゲットアップグレードファイルを受信する。ターゲットアップグレードファイルは、車両搭載制御装置によって行われたそのセキュリティ検証が成功した、少なくともターゲットアップグレード対象車両搭載機器に使用されるアップグレードファイルである。具体的には、このプロセスは、車両搭載アップグレードパッケージの車両内のセキュアな伝送のプロセスである。
In step S504, the target upgrade target vehicle-mounted device receives the target upgrade file transmitted by the vehicle-mounted controller. The target upgrade file is an upgrade file used for at least the target vehicle-mounted equipment for which the security verification performed by the vehicle-mounted controller has been successful. Specifically, this process is the process of secure transmission of the vehicle-mounted upgrade package within the vehicle.
前述の3つの方法では、車両内通信中にアップグレードファイルの機密性（confidentiality）が保護されなくてもよいと仮定されている。アップグレードファイルの機密性が保護される必要がある場合、OTA Orchestratorは、（本出願では第3の鍵を使用して）各Miを暗号化することによって暗号文Ciをまず取得する必要があり、前述のHash Chainベースの方法、Hash Treeベースの方法、またはBloom Filterベースの方法におけるMiをCiで置き換える。言い換えると、上述のように、暗号化が第3の鍵を使用して行われる。各部分を受信した後、ターゲットアップグレード対象車両搭載機器は、信憑性が検証された後にMiを取得するためにCiを暗号化する。暗号化のための鍵は好ましくはMAC処理で使用される鍵とは異なることに留意されたい。例えば、共有kが十分な長さである場合、kは2つの異なる鍵に分割されてもよく、そうでない場合、key derivation functionを使用してkに基づいて2つの鍵が生成され得る。
The three methods described above assume that the confidentiality of the upgrade file does not have to be protected during in-vehicle communication. If the confidentiality of the upgrade file needs to be protected, the OTA Orchestrator must first obtain the ciphertext C i by encrypting each M i (using a third key in this application). There, replaced Hash Chain based methods described above, Hash Tree-based methods or the M i in Bloom Filter based method, in C i. In other words, as mentioned above, encryption is done using a third key. After receiving the respective partial target upgraded onboard devices encrypts the C i to obtain the M i after the authenticity is verified. Note that the key for encryption is preferably different from the key used in MAC processing . For example, if the shared k is long enough, k may be split into two different keys, otherwise two keys can be generated based on k using the key derivation function.
図6は、本発明の一実施形態による車両搭載アップグレード装置の概略的構造図である。本車両搭載アップグレード装置は車両搭載システムに適用され、車両搭載システムは、車両搭載制御装置と、1つまたは複数の更新の対象である車両搭載機器とを含む。車両搭載アップグレード装置10は、前述のシステムにおける車両搭載制御装置であってもよく、装置10は、アップグレードパッケージ取得部101と、アップグレード管理部102と、アップグレード伝送部103とを含み得る。以下でこれらのユニットを具体的に説明する。
FIG. 6 is a schematic structural diagram of a vehicle-mounted upgrade device according to an embodiment of the present invention. The vehicle-mounted upgrade device is applied to a vehicle-mounted system, which includes a vehicle-mounted control device and one or more vehicle-mounted devices that are subject to update . The vehicle-mounted upgrade device 10 may be a vehicle-mounted control device in the system described above, and the device 10 may include an upgrade package acquisition unit 101, an upgrade management unit 102, and an upgrade transmission unit 103. These units will be described in detail below.
本発明の本実施形態に記載される車両搭載アップグレード装置10の各機能部の機能については、図1から図5に示される方法実施形態の関連説明を参照することに留意されたい。ここでは詳細を繰り返さない。
It should be noted that for the functions of the functional parts of the vehicle-mounted upgrade device 10 described in the present embodiment of the present invention, the related description of the method embodiment shown in FIGS . 1 to 5 is referred to. The details are not repeated here.
図7は、本発明の一実施形態によるアップグレード対象車両搭載装置の概略的構造図である。アップグレード対象車両搭載装置20は車両搭載システムに適用され、車両搭載システムは、車両搭載制御装置と、1つまたは複数の更新の対象である車両搭載機器とを含む。アップグレード対象車両搭載装置20は前述のシステムにおけるアップグレード対象車両搭載機器であってもよく、装置20は、受信部201とアップグレード部202とを含み得る。以下でこれらのユニットを具体的に説明する。
FIG. 7 is a schematic structural diagram of a vehicle-mounted device to be upgraded according to an embodiment of the present invention. The vehicle-mounted device 20 to be upgraded is applied to a vehicle-mounted system, and the vehicle-mounted system includes a vehicle-mounted control device and one or more vehicle-mounted devices to be updated . The upgrade target vehicle-mounted device 20 may be the upgrade target vehicle-mounted device in the above-mentioned system, and the device 20 may include a receiving unit 201 and an upgrade unit 202. These units will be described in detail below.
図8に示される機器が車両搭載機器アップグレード装置10であるとき、メモリ302に格納されたコードは、図5に示される車両搭載機器アップグレード方法、例えば、車両搭載アップグレードパッケージを取得するステップであって、車両搭載アップグレードパッケージが複数のアップグレードファイルを含み、各アップグレードファイルが少なくとも1つのアップグレード対象車両搭載機器をアップグレードするために使用される、ステップや、複数のアップグレードファイルに対してセキュリティ検証を行うステップや、ターゲットアップグレードファイルを使用してアップグレードされるべきであるターゲットアップグレード対象車両搭載機器にターゲットアップグレードファイルを送信するステップであって、ターゲットアップグレードファイルが、複数のアップグレードファイル内のそのセキュリティ検証が成功したアップグレードファイルである、ステップ、を行うために使用され得る。
When the device shown in FIG. 8 is the vehicle-mounted equipment upgrade device 10, the code stored in the memory 302 is a step to obtain the vehicle-mounted equipment upgrade method shown in FIG. 5 , for example, the vehicle-mounted upgrade package. , The vehicle-mounted upgrade package contains multiple upgrade files, and each upgrade file is used to upgrade at least one vehicle-mounted equipment to be upgraded, such as steps and security verification steps for multiple upgrade files. The target upgrade file is a step that sends the target upgrade file to the target vehicle-mounted equipment that should be upgraded using the target upgrade file, and the target upgrade file is an upgrade whose security verification is successful in multiple upgrade files. Can be used to perform steps, which are files.
図8に示される機器がアップグレード対象車両搭載装置20であるとき、メモリ302に格納されたコードは、図5に示される車両搭載機器アップグレード方法、例えば、車両搭載制御装置によって送信されたターゲットアップグレードファイルを受信するステップであって、ターゲットアップグレードファイルが、車両搭載制御装置によって行われたそのセキュリティ検証が成功した、少なくともターゲットアップグレード対象車両搭載機器をアップグレードするために使用されるアップグレードファイルである、ステップや、ターゲットアップグレードファイルを使用してセキュアなアップグレードを行うステップ、を行うために使用され得る。
When the device shown in FIG. 8 is the vehicle-mounted device 20 to be upgraded, the code stored in the memory 302 is the target upgrade file transmitted by the vehicle-mounted device upgrade method shown in FIG. 5 , for example, the vehicle-mounted controller. The target upgrade file is an upgrade file that has been successfully validated by the vehicle-mounted controller and is at least used to upgrade the target vehicle-mounted equipment. Can be used to perform a secure upgrade step, using a target upgrade file.
前述の実施形態は、本出願を限定するためのものではなく、本出願の技術的解決策を説明するためのものにすぎない。本出願は前述の実施形態に関連して詳細に説明されているが、本出願の実施形態の技術的解決策の範囲を逸脱することなく、前述の実施形態に記載されている技術的解決策にさらに改変を行い得るかまたは前述の実施形態の一部の技術的特徴に対する等価の置換を行い得ることを当業者は理解するはずである。
The aforementioned embodiments are not intended to limit the application, but merely to explain the technical solutions of the application. Although the present application has been described in detail in connection with the aforementioned embodiments, the technical solutions described in the aforementioned embodiments without departing from the scope of the technical solutions of the embodiments of the present application. Those skilled in the art will appreciate that further modifications can be made to the above or equivalent substitutions for some of the technical features of the aforementioned embodiments.
Claims (22)
前記車両搭載制御装置が、車両搭載アップグレードパッケージを取得するステップであって、前記車両搭載アップグレードパッケージが複数のアップグレードファイルを含み、各アップグレードファイルが少なくとも1つのアップグレード対象車両搭載機器をアップグレードするために使用される、ステップと、
前記車両搭載制御装置が、前記複数のアップグレードファイルに対してセキュリティ検証を行うステップと、
前記車両搭載制御装置が、ターゲットアップグレードファイルを使用してアップグレードされるべきターゲットアップグレード対象車両搭載機器に前記ターゲットアップグレードファイルを送信するステップであって、前記ターゲットアップグレードファイルが、前記複数のアップグレードファイル内のそのセキュリティ検証が成功したアップグレードファイルである、ステップと
を含む、車両搭載機器アップグレード方法。 A vehicle-mounted equipment upgrade method applied to a vehicle-mounted system, wherein the vehicle-mounted system includes a vehicle-mounted control device and one or more vehicle-mounted equipment to be upgraded.
The vehicle-mounted controller is a step in obtaining a vehicle-mounted upgrade package, wherein the vehicle-mounted upgrade package contains a plurality of upgrade files, and each upgrade file is used to upgrade at least one vehicle-mounted equipment to be upgraded. To be done, steps and
A step in which the vehicle-mounted control device performs security verification on the plurality of upgrade files,
The vehicle-mounted control unit is a step of transmitting the target upgrade file to the target vehicle-mounted device to be upgraded by using the target upgrade file, and the target upgrade file is included in the plurality of upgrade files. How to upgrade vehicle-mounted equipment, including steps and upgrade files that have been successfully verified for security.
前記車両搭載制御装置が、前記第1のデジタル署名を使用して前記複数のアップグレードファイルに対してデジタル署名検証を行うステップ
を含む、請求項1に記載の方法。 The step in which the vehicle-mounted upgrade package contains a first digital signature and the vehicle-mounted controller performs security verification on the plurality of upgrade files.
The method of claim 1, wherein the vehicle-mounted control device comprises the step of performing a digital signature verification on the plurality of upgrade files using the first digital signature.
前記車両搭載制御装置が、アップグレードサーバに識別認証情報を送信するステップと、
前記識別認証情報が前記アップグレードサーバによって認証された場合、前記車両搭載制御装置と前記アップグレードサーバとの間にセキュアなチャネルを確立するステップと
をさらに含み、
前記車両搭載制御装置が、車両搭載アップグレードパッケージを取得する前記ステップが、
前記車両搭載制御装置が、前記セキュアなチャネルを介して前記アップグレードサーバから前記車両搭載アップグレードパッケージを取得するステップ
を含む、請求項2に記載の方法。 The above method
The step that the vehicle-mounted control device transmits the identification authentication information to the upgrade server,
If the identification credentials are authenticated by the upgrade server, it further includes the step of establishing a secure channel between the vehicle-mounted controller and the upgrade server.
The step by which the vehicle-mounted controller acquires the vehicle-mounted upgrade package is
2. The method of claim 2, wherein the vehicle-mounted control unit includes a step of acquiring the vehicle-mounted upgrade package from the upgrade server via the secure channel.
前記車両搭載制御装置が、前記第1のデジタル署名を使用して前記複数のアップグレードファイルに対してデジタル署名検証を行う前記ステップの後に、前記方法が、
前記車両搭載制御装置が、前記デジタル署名検証が成功した場合、前記第1の鍵を使用して前記複数のアップグレードファイルを解読するステップ
を含む、請求項2に記載の方法。 The vehicle-mounted upgrade package is encrypted using a first key, the first key is a symmetric key, and the method is such that the vehicle-mounted controller obtains the first key from a key server. Including further steps to
After the step in which the vehicle-mounted controller performs digital signature verification on the plurality of upgrade files using the first digital signature, the method:
The method of claim 2, wherein the vehicle-mounted control device comprises the step of decrypting the plurality of upgrade files using the first key if the digital signature verification is successful.
前記車両搭載制御装置が、前記ターゲットアップグレードファイルを複数のアップグレードサブファイルに分割するステップと、
前記車両搭載制御装置が、事前設定アルゴリズムを使用して前記複数のアップグレードサブファイルから複数の相互関連データブロックを生成し、第2の鍵を使用して前記複数のデータブロックの第1のメッセージ認証コードMACを生成するステップであって、前記第2の鍵が対称アルゴリズム鍵である、ステップと、
前記車両搭載制御装置が前記ターゲットアップグレード対象車両搭載機器に、前記第1のMACを搬送する前記複数のデータブロックを順次に送信するステップと
を含む、請求項1から4のいずれか一項に記載の方法。 The step of transmitting the target upgrade file to the target vehicle-mounted device to which the vehicle-mounted controller should be upgraded using the target upgrade file.
A step in which the vehicle-mounted controller divides the target upgrade file into a plurality of upgrade subfiles.
The vehicle-mounted controller uses a preset algorithm to generate a plurality of interrelated data blocks from the plurality of upgrade subfiles, and uses a second key to authenticate the first message of the plurality of data blocks. A step in which the code MAC is generated, wherein the second key is a symmetric algorithm key.
The invention according to any one of claims 1 to 4, wherein the vehicle-mounted control device sequentially transmits the plurality of data blocks carrying the first MAC to the target vehicle-mounted device. the method of.
前記車両搭載制御装置が、第3の鍵を使用して前記複数のアップグレードサブファイルの各々を暗号化するステップ
をさらに含み、
前記車両搭載制御装置が、事前設定アルゴリズムを使用して前記複数のアップグレードサブファイルから複数の相互関連データブロックを生成する前記ステップが、
前記車両搭載制御装置が前記事前設定アルゴリズムを使用して、前記第3の鍵を使用して暗号化された前記複数のアップグレードサブファイルから前記複数の相互関連データブロックを生成するステップ
を含む、請求項5に記載の方法。 The above method
The vehicle-mounted controller further includes a step of encrypting each of the plurality of upgrade subfiles using a third key.
The step in which the vehicle-mounted controller generates a plurality of interrelated data blocks from the plurality of upgrade subfiles using a preset algorithm.
The vehicle-mounted controller includes a step of generating the plurality of interrelated data blocks from the plurality of upgrade subfiles encrypted using the third key using the preset algorithm. The method according to claim 5.
前記車両搭載制御装置が、前記複数のアップグレードファイルに対してセキュリティ検証を行う前記ステップが、
前記車両搭載制御装置が、前記複数のデータブロックの前記第2のデジタル署名を検査するステップ
を含み、
前記車両搭載制御装置が、ターゲットアップグレードファイルを使用してアップグレードされるべきであるターゲットアップグレード対象車両搭載機器に前記ターゲットアップグレードファイルを送信する前記ステップが、
前記車両搭載制御装置が、第5の鍵を使用して前記複数のデータブロックの第2のMACを生成するステップであって、前記第5の鍵が対称アルゴリズム鍵である、ステップと、
前記車両搭載制御装置が前記ターゲットアップグレード対象車両搭載機器に、前記第2のMACを搬送する前記複数のデータブロックを順次に送信するステップと
を含む、請求項1に記載の方法。 The target upgrade file contains a plurality of upgrade subfiles, and a plurality of interrelated data blocks are generated from the plurality of upgrade subfiles using a preset algorithm, and the plurality of upgrade subfiles hold a fourth key. Carrying a second digital signature of the plurality of data blocks generated using the fourth key is an asymmetric key.
The step in which the vehicle-mounted control device performs security verification on the plurality of upgrade files is
The vehicle-mounted controller includes a step of inspecting the second digital signature of the plurality of data blocks.
The step of transmitting the target upgrade file to the target vehicle-mounted device to which the vehicle-mounted controller should be upgraded using the target upgrade file.
A step in which the vehicle-mounted control device uses a fifth key to generate a second MAC of the plurality of data blocks, wherein the fifth key is a symmetric algorithm key.
The method according to claim 1, wherein the vehicle-mounted control device sequentially transmits the plurality of data blocks carrying the second MAC to the target vehicle-mounted device.
前記車両搭載制御装置が、前記ターゲットアップグレード対象車両搭載機器にターゲットデータブロックを再送するステップであって、前記ターゲットデータブロックが、前記複数のデータブロック内の前記ターゲットアップグレード対象車両搭載機器でその検証が失敗したデータブロックである、ステップ
をさらに含む、請求項5から8のいずれか一項に記載の方法。 The above method
The vehicle-mounted control device is a step of retransmitting the target data block to the target upgrade target vehicle-mounted device, and the target data block is verified by the target upgrade target vehicle-mounted device in the plurality of data blocks. The method of any one of claims 5-8, further comprising a step, which is a failed data block.
前記車両搭載機器が、車両搭載アップグレードパッケージを取得し、前記車両搭載アップグレードパッケージ内の複数のアップグレードファイルに対してセキュリティ検証を行い、ターゲットアップグレードファイルを使用してアップグレードされるべきであるターゲットアップグレード対象車両搭載機器に前記ターゲットアップグレードファイルを送信し、各アップグレードファイルが少なくとも1つのアップグレード対象車両搭載機器をアップグレードするために使用され、前記ターゲットアップグレードファイルが、前記複数のアップグレードファイル内のその検証が成功したアップグレードファイルである、ように構成され、
前記アップグレード対象車両搭載機器が、前記車両搭載制御装置によって送信された前記ターゲットアップグレードファイルを受信し、前記ターゲットアップグレードファイルを使用してセキュアなアップグレードを行い、前記アップグレード対象車両搭載機器が前記ターゲットアップグレード対象車両搭載機器である、ように構成される、
インテリジェント車両。 An intelligent vehicle, wherein the intelligent vehicle includes a vehicle-mounted controller and at least one upgradeable vehicle-mounted device.
The vehicle-mounted equipment should obtain a vehicle-mounted upgrade package, perform security verification on multiple upgrade files in the vehicle-mounted upgrade package, and upgrade using the target upgrade file. The target upgrade file is sent to the onboard equipment, each upgrade file is used to upgrade at least one upgrade target vehicle onboard equipment, and the target upgrade file is an upgrade whose verification is successful in the multiple upgrade files. Is a file, configured to
The upgrade target vehicle-mounted device receives the target upgrade file transmitted by the vehicle-mounted control device, performs a secure upgrade using the target upgrade file, and the upgrade target vehicle-mounted device is the target upgrade target. It is configured to be a vehicle-mounted device,
Intelligent vehicle.
前記第1のデジタル署名を使用して前記複数のアップグレードファイルに対してデジタル署名検証を行う
ように特に構成される、請求項10に記載のインテリジェント車両。 The vehicle-mounted control device
The intelligent vehicle according to claim 10, which is specifically configured to perform digital signature verification on the plurality of upgrade files using the first digital signature.
前記アップグレードサーバに識別認証情報を送信し、前記識別認証情報が前記アップグレードサーバによって認証された場合、前記車両搭載制御装置と前記アップグレードサーバとの間にセキュアなチャネルを確立し、前記セキュアなチャネルを介して前記アップグレードサーバから前記車両搭載アップグレードパッケージを取得する、
ように特に構成されるか、または
前記車両搭載アップグレードパッケージが第1の鍵を使用して暗号化され、前記第1の鍵が対称鍵であり、前記車両搭載制御装置が、
前記第1の鍵を鍵サーバから取得し、前記第1のデジタル署名を使用して前記複数のアップグレードファイルに対して行われたデジタル署名検証が成功した後、前記第1の鍵を使用して前記複数のアップグレードファイルを解読する、
ように特に構成される、請求項11に記載のインテリジェント車両。 The vehicle-mounted control device
When the identification authentication information is transmitted to the upgrade server and the identification authentication information is authenticated by the upgrade server, a secure channel is established between the vehicle-mounted control device and the upgrade server, and the secure channel is established. Obtain the vehicle-mounted upgrade package from the upgrade server via
The vehicle-mounted upgrade package is specifically configured such as, or the vehicle-mounted upgrade package is encrypted using a first key, the first key being a symmetric key, and the vehicle-mounted controller.
After the first key is obtained from the key server and the digital signature verification performed on the plurality of upgrade files using the first digital signature is successful, the first key is used. Decrypt the multiple upgrade files,
The intelligent vehicle according to claim 11, which is specifically configured as such.
前記ターゲットアップグレードファイルを複数のアップグレードサブファイルに分割し、事前設定アルゴリズムを使用して複数の相互関連データブロックを生成し、第2の鍵を使用して前記複数のデータブロックの第1のメッセージ認証コードMACを生成し、前記ターゲットアップグレード対象車両搭載機器に、前記第1のMACを搬送する前記複数のデータブロックを順次に送信し、前記第2の鍵が対称アルゴリズム鍵である、
ように特に構成され、
前記アップグレード対象車両搭載機器が、
前記第1のMACを搬送する、前記車両搭載制御装置によって送信された前記複数のデータブロックを順次に受信し、前記第2の鍵を使用して前記事前設定アルゴリズムに基づいて前記複数のデータブロックに対する検証を順次に行い、前記複数のデータブロックすべてが検証されると、前記複数の順次に検証されたデータブロックをアップグレードのために結合する、
ように特に構成される、請求項10から12のいずれか一項に記載のインテリジェント車両。 The vehicle-mounted control device
The target upgrade file is split into multiple upgrade subfiles, a preset algorithm is used to generate multiple interrelated data blocks, and a second key is used to authenticate the first message of the multiple data blocks. A code MAC is generated, the plurality of data blocks carrying the first MAC are sequentially transmitted to the target vehicle-mounted device, and the second key is a symmetric algorithm key.
Specially configured as
The equipment mounted on the vehicle to be upgraded
The plurality of data blocks transmitted by the vehicle-mounted control device that carries the first MAC are sequentially received, and the plurality of data are sequentially received using the second key based on the preset algorithm. The blocks are validated sequentially, and once all of the plurality of data blocks have been validated, the plurality of sequentially validated data blocks are combined for upgrade.
The intelligent vehicle according to any one of claims 10 to 12, which is specifically configured as such.
第3の鍵を使用して前記複数のアップグレードサブファイルの各々を暗号化し、前記事前設定アルゴリズムを使用して、前記第3の鍵を使用して暗号化された前記複数のアップグレードサブファイルから前記複数の相互関連データブロックを生成する、
ように特に構成され、
前記アップグレード対象車両搭載機器が、
前記複数のデータブロックすべてが検証されると、前記第3の鍵を使用して前記複数の順次に検証されたデータブロックの各々を解読し、前記第3の鍵を使用して解読された前記複数のデータブロックをアップグレードのために結合する、
ように特に構成される、請求項13に記載のインテリジェント車両。 The vehicle-mounted control device
Each of the plurality of upgrade subfiles is encrypted using the third key, and from the plurality of upgrade subfiles encrypted using the third key using the preset algorithm. Generate the plurality of interrelated data blocks,
Specially configured as
The equipment mounted on the vehicle to be upgraded
When all of the plurality of data blocks are verified, each of the plurality of sequentially verified data blocks is decrypted using the third key, and the decrypted data blocks are decrypted using the third key. Combine multiple data blocks for upgrade,
The intelligent vehicle according to claim 13, which is specifically configured as such.
前記車両搭載制御装置が、
前記複数のデータブロックの前記第2のデジタル署名を検査し、第5の鍵を使用して前記複数のデータブロックの第2のMACを生成し、前記ターゲットアップグレード対象車両搭載機器に、前記第2のMACを搬送する前記複数のデータブロックを順次に送信し、前記第5の鍵が対称アルゴリズム鍵である、
ように特に構成され、
前記アップグレード対象車両搭載機器が、
前記第2のMACを搬送する、前記車両搭載制御装置によって送信された前記複数のデータブロックを順次に受信し、前記第5の鍵を使用して前記事前設定アルゴリズムに基づいて前記複数のデータブロックに対する検証を順次に行い、前記複数のデータブロックすべてが検証されると、前記複数の順次に検証されたデータブロックをアップグレードのために結合する、
ように特に構成される、請求項10に記載のインテリジェント車両。 The target upgrade file contains a plurality of upgrade subfiles, and a plurality of interrelated data blocks are generated from the plurality of upgrade subfiles using a preset algorithm, and the plurality of upgrade subfiles hold a fourth key. Carrying a second digital signature of the plurality of data blocks generated using the fourth key is an asymmetric key.
The vehicle-mounted control device
The second digital signature of the plurality of data blocks is inspected, a fifth key is used to generate a second MAC of the plurality of data blocks, and the second MAC of the target upgrade target vehicle is subjected to the second. The plurality of data blocks carrying the MAC of the above are sequentially transmitted, and the fifth key is a symmetric algorithm key.
Specially configured as
The equipment mounted on the vehicle to be upgraded
The plurality of data blocks transmitted by the vehicle-mounted control device that carries the second MAC are sequentially received, and the plurality of data are sequentially received using the fifth key based on the preset algorithm. The blocks are validated sequentially, and once all of the plurality of data blocks have been validated, the plurality of sequentially validated data blocks are combined for upgrade.
The intelligent vehicle according to claim 10, which is specifically configured as such.
アップグレードサーバから車両搭載アップグレードパッケージを取得するように構成されたアップグレードパッケージ取得部であって、前記車両搭載アップグレードパッケージが複数のアップグレードファイルを含み、各アップグレードファイルが少なくとも1つのアップグレード対象車両搭載機器をアップグレードするために使用される、アップグレードパッケージ取得部と、
前記複数のアップグレードファイルに対してセキュリティ検証を行うように構成された、アップグレード管理部と、
ターゲットアップグレードファイルを使用してアップグレードされるべきターゲットアップグレード対象車両搭載機器に前記ターゲットアップグレードファイルを送信するように構成されたアップグレード伝送部であって、前記ターゲットアップグレードファイルが、前記複数のアップグレードファイル内のそのセキュリティ検証が成功したアップグレードファイルである、アップグレード伝送部と
を含む、車両搭載機器アップグレード装置。 A vehicle-mounted equipment upgrade device applied to a vehicle-mounted system, wherein the vehicle-mounted system includes a vehicle-mounted control device and one or more vehicle-mounted equipment to be upgraded.
An upgrade package acquisition unit configured to acquire a vehicle-mounted upgrade package from an upgrade server, the vehicle-mounted upgrade package containing multiple upgrade files, and each upgrade file upgrades at least one vehicle-mounted device to be upgraded. The upgrade package acquisition department used to
The upgrade management unit, which is configured to perform security verification on the multiple upgrade files,
An upgrade transmission that is configured to send the target upgrade file to the target vehicle-mounted equipment that should be upgraded using the target upgrade file, and the target upgrade file is contained in the plurality of upgrade files. A vehicle-mounted equipment upgrade device that includes an upgrade transmission and an upgrade file whose security verification has been successful.
前記アップグレードサーバに識別認証情報を送信するように構成された、識別認証部と、
前記識別認証情報が前記アップグレードサーバによって認証された場合、前記車両搭載制御装置と前記アップグレードサーバとの間にセキュアなチャネルを確立する、ように構成された、チャネル確立部と
をさらに含み、
前記アップグレードパッケージ取得部が、前記セキュアなチャネルを介して前記アップグレードサーバから前記車両搭載アップグレードパッケージを取得するように特に構成される、請求項17に記載の装置。 The device
An identification authentication unit configured to send identification authentication information to the upgrade server,
Further including a channel establishment unit configured to establish a secure channel between the vehicle-mounted controller and the upgrade server when the identification credentials are authenticated by the upgrade server.
17. The apparatus of claim 17, wherein the upgrade package acquisition unit is specifically configured to acquire the vehicle-mounted upgrade package from the upgrade server via the secure channel.
鍵サーバから前記第1の鍵を取得するように構成された、鍵取得部
をさらに含み、
前記装置が、
前記第1のデジタル署名を使用して前記複数のアップグレードファイルに対してデジタル署名検証が行われた後、前記車両搭載制御装置のために、前記デジタル署名検証が成功した場合、前記第1の鍵を使用して前記複数のアップグレードファイルを解読する、ように構成された、解読部
をさらに含む、請求項17に記載の装置。 The vehicle-mounted upgrade package is encrypted using a first key, the first key is a symmetric key, and the device.
It further includes a key acquisition unit configured to acquire the first key from the key server.
The device
After the digital signature verification is performed on the plurality of upgrade files using the first digital signature, if the digital signature verification is successful for the vehicle-mounted control device, the first key. 17. The apparatus of claim 17, further comprising a decoding unit, configured to decode the plurality of upgrade files using the device.
前記ターゲットアップグレードファイルを複数のアップグレードサブファイルに分割し、事前設定アルゴリズムを使用して前記複数のアップグレードサブファイルから複数の相互関連データブロックを生成し、第2の鍵を使用して前記複数のデータブロックの第1のメッセージ認証コードMACを生成し、前記第2の鍵が対称アルゴリズム鍵であり、前記ターゲットアップグレード対象車両搭載機器に、前記第1のMACを搬送する前記複数のデータブロックを順次に送信する
ように特に構成される、請求項16から19のいずれか一項に記載の装置。 The upgrade transmission unit
The target upgrade file is split into a plurality of upgrade subfiles, a preset algorithm is used to generate multiple interrelated data blocks from the plurality of upgrade subfiles, and the second key is used to generate the plurality of data. The first message authentication code MAC of the block is generated, the second key is the symmetric algorithm key, and the plurality of data blocks carrying the first MAC are sequentially transferred to the target vehicle-mounted device. The device according to any one of claims 16 to 19, specifically configured to transmit.
第3の鍵を使用して前記複数のアップグレードサブファイルの各々を暗号化するように構成された、暗号化部
をさらに含み、
前記アップグレード伝送部が、
前記ターゲットアップグレードファイルを前記複数のアップグレードサブファイルに分割し、前記車両搭載制御装置のために前記事前設定アルゴリズムを使用して、前記第3の鍵を使用して暗号化された前記複数のアップグレードサブファイルから前記複数の相互関連データブロックを生成し、前記第2の鍵を使用して前記複数のデータブロックの前記第1のメッセージ認証コードMACを生成し、前記第2の鍵が対称アルゴリズム鍵であり、前記ターゲットアップグレード対象車両搭載機器に、前記第1のMACを搬送する前記複数のデータブロックを順次に送信する、
ように特に構成される、請求項20に記載の装置。 The device
It further includes an encryption unit that is configured to encrypt each of the multiple upgrade subfiles using a third key.
The upgrade transmission unit
The plurality of upgrades are divided into the plurality of upgrade subfiles and encrypted using the third key using the preset algorithm for the vehicle-mounted controller. The plurality of interrelated data blocks are generated from the subfile, the second key is used to generate the first message authentication code MAC of the plurality of data blocks, and the second key is a symmetric algorithm key. The plurality of data blocks carrying the first MAC are sequentially transmitted to the target vehicle-mounted device for the target upgrade.
20. The device of claim 20, specifically configured as such.
前記アップグレード管理部が、前記車両搭載制御装置のために、前記複数のデータブロックの前記第2のデジタル署名を検査するように特に構成され、
前記アップグレード伝送部が、第5の鍵を使用して前記複数のデータブロックの第2のMACを生成し、前記第5の鍵が対称アルゴリズム鍵であり、前記ターゲットアップグレード対象車両搭載機器に、前記第2のMACを搬送する前記複数のデータブロックを順次に送信する、ように特に構成される、請求項16に記載の装置。 The target upgrade file contains a plurality of upgrade subfiles, and a plurality of interrelated data blocks are generated from the plurality of upgrade subfiles using a preset algorithm, and the plurality of upgrade subfiles hold a fourth key. Carrying a second digital signature of the plurality of data blocks generated using the fourth key is an asymmetric key.
The upgrade control unit is specifically configured to inspect the second digital signature of the plurality of data blocks for the vehicle-mounted controller.
The upgrade transmission unit uses the fifth key to generate a second MAC of the plurality of data blocks, and the fifth key is a symmetric algorithm key, and the device mounted on the target upgrade target vehicle is subjected to the above. 16. The apparatus of claim 16, which is specifically configured to sequentially transmit the plurality of data blocks carrying a second MAC.
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| PCT/SG2017/050530 WO2019083440A2 (en) | 2017-10-24 | 2017-10-24 | Vehicle-mounted device upgrading method and related device |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2021500816A true JP2021500816A (en) | 2021-01-07 |
| JP7139424B2 JP7139424B2 (en) | 2022-09-20 |
Family
ID=66246647
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2020523294A Active JP7139424B2 (en) | 2017-10-24 | 2017-10-24 | Vehicle-mounted equipment upgrade method and related equipment |
Country Status (5)
| Country | Link |
|---|---|
| US (1) | US11662991B2 (en) |
| EP (2) | EP3690643B1 (en) |
| JP (1) | JP7139424B2 (en) |
| CN (1) | CN111279310B (en) |
| WO (1) | WO2019083440A2 (en) |
Families Citing this family (63)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP3690643B1 (en) | 2017-10-24 | 2023-01-25 | Huawei International Pte. Ltd. | Vehicle-mounted device upgrading method and related device |
| WO2020071564A1 (en) * | 2018-10-01 | 2020-04-09 | 엘지전자 주식회사 | Mobile its station and message transmission and reception method of said mobile its station |
| CN112134911A (en) * | 2019-06-25 | 2020-12-25 | 联合汽车电子有限公司 | Remote program upgrading method, device and medium |
| CN112394966A (en) * | 2019-08-19 | 2021-02-23 | 云丁网络技术(北京)有限公司 | Equipment upgrading method and device, computer readable medium and equipment |
| CN110597542B (en) * | 2019-09-17 | 2023-01-31 | Oppo（重庆）智能科技有限公司 | Software automatic OTA (over the air) upgrading method and device and electronic equipment |
| CN110647341A (en) * | 2019-09-21 | 2020-01-03 | 深圳市英博超算科技有限公司 | OTA upgrading method, OTA upgrading device, OTA vehicle and computer readable storage medium |
| JP7185098B2 (en) * | 2019-09-25 | 2022-12-06 | シフトファイブ・インコーポレーテッド | Passive monitoring and prevention of unauthorized firmware or software upgrades between computing devices |
| CN113094062A (en) * | 2019-12-23 | 2021-07-09 | 华为技术有限公司 | Upgrading method and device |
| CN113157305B (en) * | 2020-01-23 | 2022-04-05 | 华为技术有限公司 | Software upgrading method and device |
| MX2021009503A (en) * | 2020-02-14 | 2021-09-08 | Huawei Tech Co Ltd | Vehicle-mounted device upgrading method, and related apparatus. |
| CN113497719B (en) * | 2020-03-20 | 2024-06-21 | 广州汽车集团股份有限公司 | Service-oriented vehicle-mounted ECU software upgrading method and system and related equipment |
| KR20210151498A (en) * | 2020-06-05 | 2021-12-14 | 현대자동차주식회사 | System and method for updating of vehicle |
| CN111651771A (en) * | 2020-06-08 | 2020-09-11 | 湖北阿桑奇汽车电子科技有限公司 | Safe FOTA using method |
| CN113810446B (en) * | 2020-06-16 | 2024-07-05 | 上海赫千电子科技有限公司 | Safety upgrading management method for ECU of vehicle-mounted network |
| CN111722861B (en) * | 2020-06-17 | 2023-03-10 | 中国第一汽车股份有限公司 | Application program upgrading method, device, equipment and storage medium |
| JP7314867B2 (en) * | 2020-06-18 | 2023-07-26 | トヨタ自動車株式会社 | masters, network systems, methods, programs, centers and vehicles |
| EP3958154A1 (en) * | 2020-08-20 | 2022-02-23 | Argus Cyber Security Ltd | System and method for dynamically securing software |
| CN112188434A (en) * | 2020-09-21 | 2021-01-05 | 西安墨科通讯科技有限公司 | OTA (over the air) upgrading method and system |
| JP2023543476A (en) * | 2020-09-30 | 2023-10-16 | ホアウェイ・テクノロジーズ・カンパニー・リミテッド | Method and related devices for verifying software security of electronic devices in a vehicle |
| CN114362981A (en) * | 2020-09-30 | 2022-04-15 | 京东方科技集团股份有限公司 | Upgrading method of terminal equipment of Internet of things and related equipment |
| DE102020212772A1 (en) * | 2020-10-09 | 2022-04-14 | Robert Bosch Gesellschaft mit beschränkter Haftung | Method and device for managing cryptographic keys |
| CN114385201B (en) * | 2020-10-16 | 2024-06-04 | 北京昇科能源科技有限责任公司 | Method and system for upgrading end platform corresponding to energy storage equipment |
| CN112286552B (en) * | 2020-10-22 | 2024-04-02 | 百度在线网络技术（北京）有限公司 | Task creation method and device, electronic equipment and storage medium |
| CN112312358B (en) * | 2020-10-26 | 2023-04-18 | 潍柴动力股份有限公司 | Communication method and vehicle-mounted terminal |
| CN112231228B (en) * | 2020-11-06 | 2024-07-05 | 广州极飞科技股份有限公司 | Firmware upgrade test method, device, platform, equipment and storage medium |
| CN114691346A (en) * | 2020-12-25 | 2022-07-01 | 华为技术有限公司 | Configuration method and equipment of computing power resources |
| EP4258593A4 (en) * | 2020-12-28 | 2024-03-20 | Huawei Technologies Co., Ltd. | Ota update method and apparatus |
| CN112732293A (en) * | 2020-12-31 | 2021-04-30 | 青岛海信电子产业控股股份有限公司 | Vehicle-mounted system upgrading method and vehicle-mounted terminal |
| CN112860559B (en) * | 2021-02-19 | 2024-05-28 | 一汽解放汽车有限公司 | Upgrade test system and method |
| CN112883382B (en) * | 2021-03-03 | 2023-05-23 | 一汽解放汽车有限公司 | Vehicle writing method, internet of vehicles box, vehicle and storage medium |
| JP2024513679A (en) * | 2021-03-09 | 2024-03-27 | 華為技術有限公司 | Method and related device for retrieving files based on wireless OTA technology |
| CN113114729A (en) * | 2021-03-22 | 2021-07-13 | 一汽奔腾轿车有限公司 | Verification system and method for OTA reliability |
| CN113110850B (en) * | 2021-05-12 | 2022-09-20 | 宝能(广州)汽车研究院有限公司 | Vehicle upgrading method, device, equipment, vehicle and storage medium |
| CN113515747B (en) * | 2021-05-17 | 2024-02-09 | 深圳市友华通信技术有限公司 | Equipment upgrading method, device, equipment and storage medium |
| US11681811B1 (en) * | 2021-06-25 | 2023-06-20 | Northrop Grumman Systems Corporation | Cybersecurity for configuration and software updates of vehicle hardware and software based on fleet level information |
| US11409866B1 (en) | 2021-06-25 | 2022-08-09 | Northrop Grumman Systems Corporation | Adaptive cybersecurity for vehicles |
| CN113630437A (en) * | 2021-06-25 | 2021-11-09 | 际络科技(上海)有限公司 | Vehicle control unit upgrading method and device and vehicle |
| CN114461240B (en) * | 2021-06-30 | 2023-04-14 | 荣耀终端有限公司 | Software upgrading method, software upgrading system and electronic equipment |
| CN113727299B (en) * | 2021-07-15 | 2024-03-08 | 江铃汽车股份有限公司 | Handshake authentication method and device, readable storage medium and vehicle |
| CN113660317B (en) * | 2021-07-30 | 2023-07-04 | 江西五十铃汽车有限公司 | Vehicle-mounted terminal remote upgrading method based on FTP protocol |
| CN113760337A (en) * | 2021-09-14 | 2021-12-07 | 远峰科技股份有限公司 | Upgrading rollback method and upgrading rollback system for FOTA |
| CN113992660A (en) * | 2021-10-29 | 2022-01-28 | 维沃移动通信有限公司 | File transmission method and device, electronic equipment and storage medium |
| CN114024732A (en) * | 2021-10-29 | 2022-02-08 | 百度在线网络技术（北京）有限公司 | Upgrade package downloading method, apparatus, storage medium, and program product |
| CN114124701B (en) * | 2021-11-05 | 2024-01-26 | 交控科技股份有限公司 | Remote upgrading method and system for vehicle-mounted equipment |
| CN114143197B (en) * | 2021-11-29 | 2024-04-02 | 武汉天喻信息产业股份有限公司 | OTA (over the air) upgrading method, device and equipment for Internet of things equipment and readable storage medium |
| CN114661365A (en) * | 2022-02-14 | 2022-06-24 | 阿里巴巴（中国）有限公司 | Device running method, firmware management method and firmware management system |
| CN114546448B (en) * | 2022-02-24 | 2024-05-14 | 重庆长安汽车股份有限公司 | Vehicle OTA parallel upgrading method and related device |
| CN114567552A (en) * | 2022-03-01 | 2022-05-31 | 深圳市金溢科技股份有限公司 | Vehicle-mounted V2X equipment upgrading method and device, computer equipment and storage medium |
| CN114840236A (en) * | 2022-05-13 | 2022-08-02 | 蔚来汽车科技(安徽)有限公司 | Charging device, vehicle-mounted device system, data packet processing method, vehicle, and storage medium |
| CN115195635B (en) * | 2022-06-28 | 2024-08-16 | 重庆长安汽车股份有限公司 | Power consumption risk control method for vehicle OTA upgrading |
| CN115175171B (en) * | 2022-06-29 | 2024-05-14 | 智己汽车科技有限公司 | Vehicle OTA upgrading system and vehicle OTA upgrading method |
| CN115242634B (en) * | 2022-07-05 | 2024-03-12 | 蔚来汽车科技(安徽)有限公司 | Software upgrading method, device and storage medium |
| CN115390882A (en) * | 2022-10-25 | 2022-11-25 | 广州万协通信息技术有限公司 | Vehicle-mounted terminal program updating method and device based on Internet of vehicles |
| CN116193436B (en) * | 2023-02-28 | 2024-08-02 | 东风汽车集团股份有限公司 | OTA upgrade package issuing method and system for vehicle-mounted equipment |
| CN116483390A (en) * | 2023-04-06 | 2023-07-25 | 重庆长安汽车股份有限公司 | Electronic controller refreshing method, electronic controller and management server |
| CN116185460A (en) * | 2023-04-26 | 2023-05-30 | 深圳市鼎盛科电子有限公司 | Method and device for automatically upgrading embedded system software |
| CN117097462B (en) * | 2023-07-06 | 2024-05-24 | 南京中科齐信科技有限公司 | Vehicle-mounted intelligent software upgrading encryption system based on quantum key system |
| CN116880878A (en) * | 2023-07-18 | 2023-10-13 | 上海正泰智能科技有限公司 | Upgrading method, device, equipment and storage medium |
| CN117009992B (en) * | 2023-07-28 | 2024-04-16 | 广州汽车集团股份有限公司 | Upgrade package processing method and device, electronic equipment and storage medium |
| CN116723053B (en) * | 2023-08-07 | 2023-10-31 | 北京云驰未来科技有限公司 | JTAG debugging method and system based on bus debugging equipment |
| CN117193819B (en) * | 2023-09-07 | 2024-03-26 | 迈胜医疗设备有限公司 | Radiation therapy system, firmware upgrade method, apparatus and related devices |
| CN117201193B (en) * | 2023-11-06 | 2024-01-26 | 新华三网络信息安全软件有限公司 | Virus detection method and device, storage medium and electronic equipment |
| CN117527262B (en) * | 2023-12-13 | 2024-06-18 | 智极(广州)科技有限公司 | Method for constructing automobile security OTA based on chip |
Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002144983A (en) * | 2000-11-14 | 2002-05-22 | Toyoda Mach Works Ltd | Method and device for changing control software of vehicle control device |
| JP2003202931A (en) * | 2002-01-09 | 2003-07-18 | Toshiba Corp | Software download system, server device, terminal equipment, server control program, terminal control program, server control method and terminal control method |
| WO2010024379A1 (en) * | 2008-08-29 | 2010-03-04 | 日本電気株式会社 | Communication system, communication device on transmission side and reception or transfer side, method for data communication and data transmission program |
| JP2015079440A (en) * | 2013-10-18 | 2015-04-23 | 富士通株式会社 | Correction program confirmation method, correction program confirmation program, and information processing apparatus |
| US20160344705A1 (en) * | 2015-05-19 | 2016-11-24 | Robert Bosch Gmbh | Method and update gateway for updating an embedded control unit |
| JP2017017616A (en) * | 2015-07-03 | 2017-01-19 | Kddi株式会社 | Software distribution processing unit, vehicle, software distribution processing method and computer program |
| CN106528125A (en) * | 2016-10-26 | 2017-03-22 | 腾讯科技（深圳）有限公司 | Data file incremental updating method, server, client and system |
Family Cites Families (46)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| DE19842779A1 (en) * | 1998-09-18 | 2000-03-23 | Alcatel Sa | Method for loading data and software into a vehicle computer |
| US6947556B1 (en) * | 2000-08-21 | 2005-09-20 | International Business Machines Corporation | Secure data storage and retrieval with key management and user authentication |
| JP2004530919A (en) | 2000-12-07 | 2004-10-07 | クリプティコ・アクティーゼルスカブ | Method for performing mathematical operations in an electronic device, generating pseudorandom numbers in an electronic device, and encrypting and decrypting electronic data |
| US7096311B2 (en) * | 2002-09-30 | 2006-08-22 | Innopath Software, Inc. | Updating electronic files using byte-level file differencing and updating algorithms |
| JP2005202503A (en) * | 2004-01-13 | 2005-07-28 | Hitachi Ltd | Onboard information equipment, onboard equipment management system, method for distributing upgrade information of program of control unit of vehicle, and upgrade method and system for program of control unit of vehicle |
| US7366589B2 (en) * | 2004-05-13 | 2008-04-29 | General Motors Corporation | Method and system for remote reflash |
| US8832466B1 (en) | 2006-01-27 | 2014-09-09 | Trustwave Holdings, Inc. | Methods for augmentation and interpretation of data objects |
| US8356178B2 (en) | 2006-11-13 | 2013-01-15 | Seagate Technology Llc | Method and apparatus for authenticated data storage |
| US8189769B2 (en) | 2007-07-31 | 2012-05-29 | Apple Inc. | Systems and methods for encrypting data |
| US8296584B2 (en) | 2007-12-28 | 2012-10-23 | Alcatel Lucent | Storage and retrieval of encrypted data blocks with in-line message authentication codes |
| US20090300595A1 (en) | 2008-05-30 | 2009-12-03 | Ise Corporation | System and Method for Remotely Updating Control Software in a Vehicle With an Electric Drive System |
| CN101373440B (en) * | 2008-10-09 | 2011-12-28 | 飞天诚信科技股份有限公司 | Method and device for processing firmware upgrading data |
| US9464905B2 (en) | 2010-06-25 | 2016-10-11 | Toyota Motor Engineering & Manufacturing North America, Inc. | Over-the-air vehicle systems updating and associate security protocols |
| CN102158544A (en) | 2011-02-25 | 2011-08-17 | 深圳市元征软件开发有限公司 | Method and device for remote upgrading of vehicle-mounted electronic device |
| US8782441B1 (en) | 2012-03-16 | 2014-07-15 | Google Inc. | Methods and systems for storage of large data objects |
| CN102930004B (en) | 2012-10-29 | 2015-07-08 | 华为技术有限公司 | Hash value storage method, device and chip |
| US9418072B2 (en) * | 2013-03-04 | 2016-08-16 | Vmware, Inc. | Cross-file differential content synchronization |
| US20140282470A1 (en) * | 2013-03-13 | 2014-09-18 | Arynga Inc. | Remote transfer of electronic images to a vehicle |
| CN103559057B (en) * | 2013-11-06 | 2016-10-12 | 广东小天才科技有限公司 | Embedded system loading starting method and device |
| KR101551206B1 (en) | 2013-12-13 | 2015-09-09 | 현대자동차주식회사 | A vehicle data control system and a control method |
| KR101527779B1 (en) * | 2014-01-13 | 2015-06-10 | 현대자동차주식회사 | In-vehicle apparatus for efficient reprogramming and method for controlling there of |
| KR101575447B1 (en) * | 2014-02-06 | 2015-12-07 | 현대자동차주식회사 | Method for updating software in vehicle |
| KR101551904B1 (en) | 2014-03-06 | 2015-09-09 | 재단법인 다차원 스마트 아이티 융합시스템 연구단 | Control Method of Vehicular Black Box for Reducing Storage Space |
| EP3860042B1 (en) * | 2014-05-08 | 2023-08-02 | Panasonic Intellectual Property Corporation of America | In-vehicle network system, fraud-sensing electronic control unit, and anti-fraud method |
| US10211990B2 (en) * | 2014-07-25 | 2019-02-19 | GM Global Technology Operations LLC | Authenticating messages sent over a vehicle bus that include message authentication codes |
| US9984255B2 (en) * | 2014-09-30 | 2018-05-29 | Samsung Electronics Co., Ltd. | Methods and apparatus to enable runtime checksum verification of block device images |
| US10042635B2 (en) | 2015-06-16 | 2018-08-07 | Lear Corporation | Method for wireless remote updating vehicle software |
| JP6345157B2 (en) * | 2015-06-29 | 2018-06-20 | クラリオン株式会社 | In-vehicle information communication system and authentication method |
| WO2017030886A1 (en) * | 2015-08-14 | 2017-02-23 | Pcms Holding, Inc. | Securely upgrading resource constrained devices |
| JP6675271B2 (en) * | 2015-09-14 | 2020-04-01 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ | Gateway device, in-vehicle network system, and firmware update method |
| DE102015220489B4 (en) * | 2015-10-21 | 2024-05-29 | Ford Global Technologies, Llc | Procedure for authorising a software update in a motor vehicle |
| US10437680B2 (en) * | 2015-11-13 | 2019-10-08 | Kabushiki Kaisha Toshiba | Relay apparatus, relay method, and computer program product |
| CN105573790A (en) * | 2015-12-15 | 2016-05-11 | 上海博泰悦臻网络技术服务有限公司 | Vehicle-mounted system software upgrade method, vehicle-mounted system and software server |
| US10114634B2 (en) * | 2016-01-22 | 2018-10-30 | 2236008 Ontario Inc. | Updating a controller unit in a vehicle |
| US12001825B2 (en) * | 2016-02-19 | 2024-06-04 | Ford Global Technologies, Llc | Method and apparatus for vehicle software update installation |
| CN106021462A (en) * | 2016-05-17 | 2016-10-12 | 深圳市中博科创信息技术有限公司 | File storage method of cluster file system and cluster file system |
| US10078638B2 (en) * | 2016-06-07 | 2018-09-18 | Globalfoundries Inc. | Secure hyper transfer of large files |
| CN106385420A (en) * | 2016-09-29 | 2017-02-08 | 中国联合网络通信集团有限公司 | ECU software download method and device |
| CN106790053B (en) * | 2016-12-20 | 2019-08-27 | 江苏大学 | A kind of method of ECU secure communication in CAN bus |
| JP2019036238A (en) * | 2017-08-21 | 2019-03-07 | 株式会社東芝 | Update controller, terminal, update control method, and program |
| US10264399B2 (en) * | 2017-09-01 | 2019-04-16 | GM Global Technology Operations LLC | Location-based vehicle wireless communications |
| EP3690643B1 (en) | 2017-10-24 | 2023-01-25 | Huawei International Pte. Ltd. | Vehicle-mounted device upgrading method and related device |
| CN108337234B (en) | 2017-12-28 | 2021-03-23 | 宁德时代新能源科技股份有限公司 | Vehicle-mounted program file encryption method and device |
| CN108200044B (en) | 2017-12-28 | 2021-02-19 | 宁德时代新能源科技股份有限公司 | Vehicle-mounted program file encryption method and system |
| EP3759588B1 (en) | 2018-03-19 | 2022-09-28 | Huawei International Pte. Ltd. | Method and apparatus for updating devices in a remote network |
| WO2019212403A1 (en) | 2018-04-30 | 2019-11-07 | 华为国际有限公司 | Method for upgrading vehicle-mounted device, and related device |
-
2017
- 2017-10-24 EP EP17929441.8A patent/EP3690643B1/en active Active
- 2017-10-24 EP EP22205812.5A patent/EP4152144A1/en active Pending
- 2017-10-24 CN CN201780096266.2A patent/CN111279310B/en active Active
- 2017-10-24 WO PCT/SG2017/050530 patent/WO2019083440A2/en unknown
- 2017-10-24 JP JP2020523294A patent/JP7139424B2/en active Active
-
2020
- 2020-04-23 US US16/856,897 patent/US11662991B2/en active Active
Patent Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2002144983A (en) * | 2000-11-14 | 2002-05-22 | Toyoda Mach Works Ltd | Method and device for changing control software of vehicle control device |
| JP2003202931A (en) * | 2002-01-09 | 2003-07-18 | Toshiba Corp | Software download system, server device, terminal equipment, server control program, terminal control program, server control method and terminal control method |
| WO2010024379A1 (en) * | 2008-08-29 | 2010-03-04 | 日本電気株式会社 | Communication system, communication device on transmission side and reception or transfer side, method for data communication and data transmission program |
| JP2015079440A (en) * | 2013-10-18 | 2015-04-23 | 富士通株式会社 | Correction program confirmation method, correction program confirmation program, and information processing apparatus |
| US20160344705A1 (en) * | 2015-05-19 | 2016-11-24 | Robert Bosch Gmbh | Method and update gateway for updating an embedded control unit |
| JP2017017616A (en) * | 2015-07-03 | 2017-01-19 | Kddi株式会社 | Software distribution processing unit, vehicle, software distribution processing method and computer program |
| CN106528125A (en) * | 2016-10-26 | 2017-03-22 | 腾讯科技（深圳）有限公司 | Data file incremental updating method, server, client and system |
Also Published As
| Publication number | Publication date |
|---|---|
| US20200264864A1 (en) | 2020-08-20 |
| WO2019083440A3 (en) | 2019-06-20 |
| JP7139424B2 (en) | 2022-09-20 |
| EP4152144A1 (en) | 2023-03-22 |
| US11662991B2 (en) | 2023-05-30 |
| CN111279310A (en) | 2020-06-12 |
| EP3690643A4 (en) | 2020-10-28 |
| EP3690643B1 (en) | 2023-01-25 |
| EP3690643A2 (en) | 2020-08-05 |
| WO2019083440A2 (en) | 2019-05-02 |
| CN111279310B (en) | 2023-09-12 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP7139424B2 (en) | Vehicle-mounted equipment upgrade method and related equipment | |
| US11985238B2 (en) | Vehicle-mounted device upgrade method and related device | |
| CN112585905B (en) | Equipment upgrading method and related equipment | |
| CN112543927B (en) | Equipment upgrading method and related equipment | |
| WO2021168864A1 (en) | Fault diagnostic method and apparatus, and vehicle | |
| CN113094062A (en) | Upgrading method and device | |
| US20180310173A1 (en) | Information processing apparatus, information processing system, and information processing method | |
| CN115486107A (en) | Method and system for establishing trust for network security posture of V2X entity | |
| CN115756908A (en) | Method for real-time ECU crash reporting and recovery | |
| US11706207B1 (en) | Application programming interface for certificate management systems | |
| CN115733652A (en) | Temporary key exchange between vehicle software nodes | |
| WO2023103316A1 (en) | Application management method and related product | |
| Kathiresh et al. | Vehicle diagnostics over internet protocol and over-the-air updates | |
| JP2018050255A (en) | Vehicle information collecting system, data security device, vehicle information collecting method, and computer program | |
| CN115761935A (en) | System and method for enabling persistent vehicle software interfaces | |
| CN115765904A (en) | Embedded system timing for automobile | |
| CN115761936A (en) | Improved target unit testing | |
| CN117850846B (en) | Upgrading method, device, equipment and storage medium of target electronic control unit | |
| KR20190060032A (en) | Driving assistance Apparatus for Vehicle and Control method thereof | |
| Schweppe et al. | Deliverable d3. 3: Secure on-board protocols specification | |
| Shipman et al. | A Zero Trust Architecture for Automotive Networks | |
| CN118277991A (en) | Vehicle total mileage writing method and system and vehicle | |
| CN116418832A (en) | System and method for enhanced ECU failure detection in a fleet of vehicles |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20200603 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20200603 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20210623 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20210705 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20220314 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20220714 |
|
| C60 | Trial request (containing other claim documents, opposition documents) |
Free format text: JAPANESE INTERMEDIATE CODE: C60 Effective date: 20220714 |
|
| A911 | Transfer to examiner for re-examination before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20220721 |
|
| C21 | Notice of transfer of a case for reconsideration by examiners before appeal proceedings |
Free format text: JAPANESE INTERMEDIATE CODE: C21 Effective date: 20220725 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20220808 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20220907 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 7139424 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |